JVNDB-2026-006576

yhiroseのcpp-httplibにおける複数の脆弱性

cpp-httplibはC++11のシングルファイルヘッダーオンリーのクロスプラットフォームHTTP/HTTPSライブラリです。バージョン0.37.0以前では、cpp-httplibはmultipartのContent-Dispositionヘッダー内のRFC 5987でエンコードされたfilename*値を解析するためにstd::regex（libstdc++）を使用していました。libstdc++の正規表現エンジンは深い再帰によるバックトラッキングを実装しており、入力文字ごとに1スタックフレームを消費します。攻撃者は細工されたfilename*パラメータを含む単一のHTTP POSTリクエストを送信することで、制御不能なスタックの増大を引き起こし、スタックオーバーフロー（SIGSEGV）によってサーバープロセスがクラッシュする可能性があります。この問題はバージョン0.37.0で修正されました。

yhirose

• cpp-httplib 0.37.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Stack Overflow Denial of Service (DoS) via std::regex in multipart filename parsing  Advisory  yhirose/cpp-httplib  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]
2. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-29076

1. National Vulnerability Database (NVD) : CVE-2026-29076
2. 関連文書 : Release v0.37.0  yhirose/cpp-httplib  GitHub
3. 関連文書 : Fix problem with alternate file name check  yhirose/cpp-httplib@de296af  GitHub

• [2026年03月11日]
    掲載