Asta12

**Nome do software vulnerável e versões afetadas** Versões do Puma anteriores à 5.5.1 e à 4.3.9 **Descrição** O problema está relacionado ao contrabando de solicitações HTTP ao usar o Puma com um proxy que encaminha valores de cabeçalho HTTP contendo o caractere LF. Isso poderia permitir que um cliente contrabandeasse uma solicitação através de um proxy, fazendo com que o proxy enviasse uma resposta de volta a outro cliente desconhecido. O único proxy conhecido por apresentar esse comportamento é o Apache Traffic Server. Se o proxy usar conexões persistentes e o cliente adicionar outra solicitação via pipelining HTTP, o proxy pode interpretá-la erroneamente como o corpo da primeira solicitação. O Puma, no entanto, a veria como duas solicitações e, ao processar a segunda solicitação, enviaria uma resposta que o proxy não espera. Se o proxy tiver reutilizado a conexão persistente com o Puma para enviar outra solicitação para um cliente diferente, a segunda resposta do primeiro cliente será enviada ao segundo cliente. **Recomendações** Para resolver o problema, atualize para a versão 5.5.1 ou 4.3.9 do Puma. Como solução alternativa temporária, não use o Apache Traffic Server com o Puma. Considere usar um proxy que não encaminhe caracteres LF como finais de linha, como Nginx, Apache (>2.4.25), Haproxy, Caddy ou Traefik.