{"id":163792,"date":"2026-03-10T23:11:57","date_gmt":"2026-03-10T21:11:59","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy"},"modified":"2026-03-10T23:11:57","modified_gmt":"2026-03-10T21:11:59","slug":"uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","title":{"rendered":"Vulnerabilities in the Pingora project allow for injection into third-party requests","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Firma Cloudflare og\u0142osi\u0142a o usuni\u0119ciu trzech podatno\u015bci w frameworku Pingora, z kt\u00f3rych dwie otrzyma\u0142y krytyczny poziom zagro\u017cenia (9,3 na 10). Framework Pingora jest napisany w j\u0119zyku Rust i przeznaczony do tworzenia zabezpieczonych, wysokowydajnych us\u0142ug sieciowych. Zbudowany przy pomocy Pingora proxy jest u\u017cywane w sieci dostarczania tre\u015bci Cloudflare i przetwarza ponad 40 mln zapyta\u0144 na sekund\u0119. Podatno\u015bci zosta\u0142y usuni\u0119te w wersji Pingora 0.8.0. <\/p>\n

Dwie najbardziej niebezpieczne luki pozwalaj\u0105 na przeprowadzanie atak\u00f3w klasy «HTTP Request Smuggling», umo\u017cliwiaj\u0105cych obej\u015bcie system\u00f3w ograniczenia dost\u0119pu oraz wzi\u0119cie udzia\u0142u w zawarto\u015bci \u017c\u0105da\u0144 innych u\u017cytkownik\u00f3w, obs\u0142ugiwanych w tym samym strumieniu mi\u0119dzy frontendem a backendem (na przyk\u0142ad w celu wstrzykni\u0119cia z\u0142o\u015bliwego kodu JavaScript do sesji innego u\u017cytkownika serwisu). Problemy ujawni\u0142 uczestnik programu Bug Bounty, przewiduj\u0105cego wyp\u0142at\u0119 nagr\u00f3d za wykrywanie luk. <\/p>\n

W schemacie z dost\u0119pem do backendu przez odwrotny proxy, dodatkowy w\u0119ze\u0142 przyjmuje \u017c\u0105dania klient\u00f3w, kt\u00f3ry ustanawia d\u0142ugotrwa\u0142e po\u0142\u0105czenie TCP z backendem, kt\u00f3ry bezpo\u015brednio obs\u0142uguje \u017c\u0105dania. Przez to wsp\u00f3lne po\u0142\u0105czenie zazwyczaj przesy\u0142ane s\u0105 \u017c\u0105dania r\u00f3\u017cnych u\u017cytkownik\u00f3w, kt\u00f3re nast\u0119puj\u0105 po sobie w \u0142a\u0144cuchu, rozdzielone przez protok\u00f3\u0142 HTTP. Ataki klasy HTTP Request Smuggling powstaj\u0105 z powodu r\u00f3\u017cnych interpretacji nag\u0142\u00f3wk\u00f3w HTTP i specyfikacji protoko\u0142u HTTP na frontendzie i backendzie, na przyk\u0142ad gdy frontend u\u017cywa nag\u0142\u00f3wka HTTP «Content-Length» do okre\u015blenia rozmiaru \u017c\u0105dania, a backend «Transfer-Encoding: chunked». <\/p>\n

Pierwsza luka CVE-2026-2835 obecna jest w kodzie analizy \u017c\u0105da\u0144 HTTP\/1.0 i wynika z nieprawid\u0142owego przetwarzania nag\u0142\u00f3wka «Transfer-Encoding» z kilkoma warto\u015bciami, a tak\u017ce z u\u017cycia zamkni\u0119cia po\u0142\u0105czenia jako oznaczenia ko\u0144ca cia\u0142a \u017c\u0105dania (close-delimited). Pingora sprawdza\u0142 tylko wariant «Transfer-Encoding: chunked» i ignorowa\u0142 ten nag\u0142\u00f3wek, je\u015bli zawiera\u0142 kilka warto\u015bci. W tej sytuacji Pingora nie uwzgl\u0119dnia\u0142 rozmiaru w nag\u0142\u00f3wku «Content-Length», a uznawa\u0142 za cia\u0142o \u017c\u0105dania wszystkie dane otrzymane do momentu zamkni\u0119cia po\u0142\u0105czenia. <\/p>\n

Poprzez wskazanie wielu warto\u015bci w nag\u0142\u00f3wku «Transfer-Encoding», atakuj\u0105cy m\u00f3g\u0142 stworzy\u0107 warunki, w kt\u00f3rych na backend kierowane by\u0142o \u017c\u0105danie, kt\u00f3rego rzeczywisty rozmiar nie odpowiada\u0142 rozmiarowi \u0142a\u0144cucha chunked, obliczonemu na podstawie nag\u0142\u00f3wka «Transfer-Encoding». Pingora kierowa\u0142 wszystkie otrzymane dane jako jedno \u017c\u0105danie, a backend, na przyk\u0142ad Node.js, oblicza\u0142 \u017c\u0105danie na podstawie «Transfer-Encoding: chunked» i pozosta\u0142y ogon traktowa\u0142 jako pocz\u0105tek innego \u017c\u0105dania. GET \/ HTTP\/1.0 Host: example.com Connection: keep-alive Transfer-Encoding: identity, chunked Content-Length: 29 0 GET \/admin HTTP\/1.1 X:

\"Vulnerabilities<\/center> <\/p>\n

Druga podatno\u015b\u0107 CVE-2026-2833 jest spowodowana niew\u0142a\u015bciwym przetwarzaniem nag\u0142\u00f3wka HTTP \u201eUpgrade\u201d w \u017c\u0105daniach HTTP\/1.1. W przypadku obecno\u015bci nag\u0142\u00f3wka \u201eUpgrade\u201d w \u017c\u0105daniu, proxy natychmiast przekazywa\u0142o do backendu pozosta\u0142e dane \u017c\u0105dania, kt\u00f3re nast\u0119powa\u0142y po nag\u0142\u00f3wku \u201eUpgrade\u201d, nie czekaj\u0105c na odpowied\u017a z backendu z kodem 101 (Switching Protocols). Skutkowa\u0142o to zak\u0142\u00f3ceniem synchronizacji strumienia mi\u0119dzy proxy a backendem, a backend traktowa\u0142 dane przes\u0142ane po nag\u0142\u00f3wku \u201eUpgrade\u201d jako osobne \u017c\u0105danie, wysy\u0142aj\u0105c wynik wykonania tego \u017c\u0105dania jako odpowied\u017a na nadchodz\u0105ce \u017c\u0105danie innego u\u017cytkownika. GET \/ HTTP\/1.1 Host: example.com Upgrade: foo GET \/admin HTTP\/1.1 Host: example.com

\"Vulnerabilities<\/center>
\"Vulnerabilities<\/center> <\/p>\n

Problemy pojawiaj\u0105 si\u0119 przy u\u017cyciu Pingora w formie odwrotnego proxy (ingress proxy), kt\u00f3re przekazuje \u017c\u0105dania u\u017cytkownik\u00f3w do backend\u00f3w z u\u017cyciem protoko\u0142\u00f3w HTTP\/1.0 lub HTTP\/1.1. Stosowana w sieci dostarczania tre\u015bci Cloudflare konfiguracja Pingora nie pozwala\u0142a na wykorzystanie podatno\u015bci, poniewa\u017c Pingora w CDN nie jest u\u017cywane jako ingress proxy, przekazuje \u017c\u0105dania tylko z u\u017cyciem protoko\u0142u HTTP\/1.1, blokuje \u017c\u0105dania z nieprawid\u0142owymi warto\u015bciami Content-Length, przekazuje tylko jedn\u0105 warto\u015b\u0107 nag\u0142\u00f3wka \u201eTransfer-Encoding: chunked\u201d i dodaje do \u017c\u0105da\u0144 z nag\u0142\u00f3wkiem \u201eUpgrade:\u201d dodatkowy nag\u0142\u00f3wek \u201eConnection: close\u201d, nie pozwalaj\u0105cy na przekazywanie dodatkowych \u017c\u0105da\u0144 w tym samym po\u0142\u0105czeniu. <\/p>\n

Trzecia podatno\u015b\u0107 CVE-2026-2836 (poziom zagro\u017cenia 8.4 w skali 10) prowadzi do zanieczyszczenia pami\u0119ci podr\u0119cznej (cache poisoning) z powodu generowania klucza umieszczania danych w pami\u0119ci podr\u0119cznej (CacheKey) wy\u0142\u0105cznie na podstawie \u015bcie\u017cki z URI, ignoruj\u0105c zawarto\u015b\u0107 nag\u0142\u00f3wka \u201eHost\u201d. Tego rodzaju niedor\u00f3bka prowadzi do formowania identycznych kluczy pami\u0119ci podr\u0119cznej dla tych samych \u015bcie\u017cek HTTP r\u00f3\u017cnych host\u00f3w. Podatno\u015b\u0107 mo\u017ce by\u0107 wykorzystywana do zast\u0119powania zawarto\u015bci pami\u0119ci podr\u0119cznej przy korzystaniu z trybu pami\u0119ci podr\u0119cznej dla wielu host\u00f3w. W Pingora pami\u0119ci podr\u0119czne s\u0105 funkcj\u0105 eksperymentaln\u0105, kt\u00f3ra nie jest zalecana do produkcyjnych wdro\u017ce\u0144.
\n
\u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e\u0431 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u0442\u0440\u0451\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 Pingora, \u0434\u0432\u0443\u043c \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (9.3 \u0438\u0437 10). \u0424\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a Pingora \u043d\u0430\u043f\u0438\u0441\u0430\u043d \u043d\u0430 \u044f\u0437\u044b\u043a\u0435 Rust \u0438 \u043f\u0440\u0435\u0434\u043d\u0430\u0437\u043d\u0430\u0447\u0435\u043d \u0434\u043b\u044f \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u043a\u0438 \u0437\u0430\u0449\u0438\u0449\u0451\u043d\u043d\u044b\u0445 \u0432\u044b\u0441\u043e\u043a\u043e\u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0435\u043b\u044c\u043d\u044b\u0445 \u0441\u0435\u0442\u0435\u0432\u044b\u0445 \u0441\u0435\u0440\u0432\u0438\u0441\u043e\u0432. \u041f\u043e\u0441\u0442\u0440\u043e\u0435\u043d\u043d\u044b\u0439 \u043f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 Pingora \u043f\u0440\u043e\u043a\u0441\u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0432 \u0441\u0435\u0442\u0438 \u0434\u043e\u0441\u0442\u0430\u0432\u043a\u0438 \u043a\u043e\u043d\u0442\u0435\u043d\u0442\u0430 Cloudflare \u0438 \u043e\u0431\u0440\u0430\u0431\u0430\u0442\u044b\u0432\u0430\u0435\u0442 \u0431\u043e\u043b\u0435\u0435 40 \u043c\u043b\u043d \u0437\u0430\u043f\u0440\u043e\u0441\u043e\u0432 \u0432 \u0441\u0435\u043a\u0443\u043d\u0434\u0443. \u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":8,"featured_media":163793,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-163792","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47 Podatno\u015bci w projekcie Pingora, kt\u00f3re umo\u017cliwiaj\u0105 wstrzykiwanie w zewn\u0119trzne zapytania | ProHoster","description":"Firma Cloudflare og\u0142osi\u0142a napraw\u0119 trzech podatno\u015bci w frameworku Pingora, z kt\u00f3rych dwie maj\u0105 przypisany krytyczny poziom zagro\u017cenia (9.3 w skali 10).","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0438 \u0432 \u043f\u0440\u043e\u0435\u043a\u0442\u0435 Pingora, \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0435 \u0432\u043a\u043b\u0438\u043d\u0438\u0442\u044c\u0441\u044f \u0432 \u0441\u0442\u043e\u0440\u043e\u043d\u043d\u0438\u0435 \u0437\u0430\u043f\u0440\u043e\u0441\u044b | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u0431\u044a\u044f\u0432\u0438\u043b\u0430 \u043e\u0431 \u0443\u0441\u0442\u0440\u0430\u043d\u0435\u043d\u0438\u0438 \u0442\u0440\u0451\u0445 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u0435\u0439 \u0432\u043e \u0444\u0440\u0435\u0439\u043c\u0432\u043e\u0440\u043a\u0435 Pingora, \u0434\u0432\u0443\u043c \u0438\u0437 \u043a\u043e\u0442\u043e\u0440\u044b\u0445 \u043f\u0440\u0438\u0441\u0432\u043e\u0435\u043d \u043a\u0440\u0438\u0442\u0438\u0447\u0435\u0441\u043a\u0438\u0439 \u0443\u0440\u043e\u0432\u0435\u043d\u044c \u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 (9.3 \u0438\u0437 10).","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/uyazvimosti-v-proekte-pingora-pozvolyayushhie-vklinitsya-v-storonnie-zaprosy","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-03-10T21:11:59+00:00","article:modified_time":"2026-03-10T21:11:59+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":[],"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/163792","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/8"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=163792"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/163792\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/163793"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=163792"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=163792"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=163792"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}