Netty · Codec-Ohttp · CVE-2026-48480
**Nome do Software Vulnerável e Versões Afetadas**
netty incubator codec-ohttp versões anteriores a 0.0.22.Final
**Descrição**
A implementação codec-ohttp do draft-ietf-ohai-chunked-ohttp não verifica se um chunk final assinado criptograficamente foi recebido antes do término do corpo HTTP externo. Isso permite que um adversário no caminho, como o relay OHTTP ou um man-in-the-middle no transporte relay-gateway ou relay-client, encaminhe um prefixo de uma mensagem chunked-OHTTP legítima — cortada em um limite de chunk não final — e feche o corpo externo adequadamente. Esta ação não produz erro de descriptografia nem exceção no aplicativo receptor.
**Recomendações**
Atualize para a versão 0.0.22.Final.