Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - cpp-httplib 是一個僅限單一檔案標頭的 C++11 跨平台 HTTP/HTTPS 程式庫。在之前 0.43.4，區塊傳輸編碼中的負區塊大小會導致無限的記憶體配置和進程損毀。cpp-httplib （httplib.h） 中的 ChunkedDecoder：：read_payload 函式會使用 std：：strtoul（） 剖析區塊傳輸編碼HTTP區塊大小欄位。根據 C 標準 （7.22.1.4），strtoul 靜默地接受前導減號，執行無符號環繞：strtoul（-2， ， 16） 傳回 ULONG_MAX 1 （0xFFFFFFFFFFFFFFFE）。程式庫的唯一防護 （第 12833 行） 拒絕 ULONG_MAX （-1 的結果），但任何其他負值 （例如 -2） 都會通過驗證。產生的接近最大值會儲存在chunk_remaining中，並控制伺服器讀取迴圈從網路消耗的位元組數。此弱點已在 0.43.4 中修正。(CVE-2026-45352)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cpp-httplib 是一个仅限单一文件标头的 C++11 跨平台 HTTP/HTTPS 库。在版本之前 0.43.4，分块传输编码中的负区块大小会造成不受限制的内存分配和进程崩溃。cpp-httplib （httplib.h） 中的 ChunkedDecoder：：read_payload 函数使用 std：：strtoul（） 解析 HTTP 分块传输编码的区块大小字段。根据 C 标准 （7.22.1.4），strtoul 静默地接受前导减号，执行无符号回绕：strtoul（-2， ， 16） 返回 ULONG_MAX 1 （0xFFFFFFFFFFFFFFFE）。库的唯一防护（第 12833 行）拒绝ULONG_MAX（-1 的结果），但任何其他负值（如 -2）均可通过验证。生成的接近最大值存储在chunk_remaining中，并控制服务器的读取循环从网络消耗的字节数。此漏洞已在 0.43.4 中修复。(CVE-2026-45352)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの Fedora 44 ホストには、FEDORA-2026-1b15ac058b のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # 0.48.0 への更新 (rhbz#2481109)

    ## セキュリティ修正

    - Mbed TLS および wolfSSL バックエンドに対する v0.47.0 から IP-host 証明書 ID の修正を完了します。IP リテラルホストは現在、一致する iPAddress SAN を介してのみ認証され、OpenSSL バックエンドがすでに X509_check_ip を通じて強制しているものと一致する証明書のコモンネーム(RFC 9110)を介しては認証されません。以前は、これらのバックエンドは一致する IP SAN がない場合に CN にフォールバックし、IPv4 のみを認識していました。現在は IPv6(16 バイト)iPAddress SAN も一致し、IPv4 と IPv6 リテラルホストの両方について CN フォールバックがスキップされます(#2476)

    ## 改善点

    - double の strtod ベースのfrom_charsを、手書きのロケールに依存しないパーサーに置き換えます。ライブラリによって二重解析される唯一のものは、HTTP 品質値です。strtod はグローバル C ロケールから小数点セパレーターを読み取るため、コンマ十進数ロケールへの setlocale(LC_ALL, ) を呼び出すエンベダーは、q 値を誤って解析します。新しいパーサーは常に を扱います。小数点を区切り文字として使用し、割り当てフリーです(修正 #2475)
    - OpenSSL 4.0 の廃止警告を修正します:スレッドセーフな X509_STORE_get1_objects()(OpenSSL 3.3+)を介してオブジェクトをフェッチCA保存し、廃止された X509_STORE_get0_objects() および X509_NAME_get_text_by_NID() の代わりに X509_NAME_get_index_by_NID()/X509_NAME_get_entry() を介して対象 CN を抽出します。古い OpenSSL、BoringSSL および LibreSSL は、get0 パスを使用し続けます。OpenSSL 4.0.1、 3.6.2 および 3.0

    ## 動作の変更

    - decode_query_component() はパーセントエスケープに対して厳密な 16 進解析を使用するようになりました。これは decode_uri_component() および decode_path_component() と一致するようになっています。% の後に非 16 進文字(例: %-1、%+5、% 5 などの記号または空白)が続くと、有効なエスケープ(#2472)として受け入れられる代わりに、そのまま渡されます

    情報源: https://github.com/yhirose/cpp-httplib/releases/tag/v0.48.0

    # 0.47.0 への更新(rhbz#2481109、 CVE-2026-46527、 CVE-2026-45372、 CVE-2026-45352)

    ## セキュリティ修正

    - Mbed TLS および wolfSSL バックエンドの IP リテラルホストに対する TLS 証明書チェーン検証バイパスを修正します:
    サーバー証明書の検証が有効になっている場合、SSLClient はチェーン検証を完全にスキップし(IP SAN が一致する信頼できない証明書はすべて受け入れられます)、Mbed TLS の WebSocketClient は検証を完全にスキップしていました。IP ホストに対してチェーン検証が有効なままになり、証明書の身元は、すべてのバックエンドの IP SAN に対するハンドシェイク後に検証されます。RFC 6066 にしたがって、SNI は Mbed TLS および wolfSSL で IP ホストに送信されなくなりました([CVE-2026-54919](https://github.com/yhirose/cpp-httplib/security/advisories/GHSA-8ffh-4p95-g3p2))

    ## 新機能

    - Add Server::set_start_handler():サーバーが接続を受け入れる準備ができたときに呼び出されるコールバック。バックグラウンドスレッドでサーバーを実行するときに便利です(#2467)
    - Client/SSLClient/WebSocketClient::enable_system_ca(bool)を追加して、カスタムCAとともにシステムCA証明書をロードすることを選択します。デフォルトは変更されず、カスタム CA は引き続き排他的です。この設定は、HTTPSリダイレクト用に作成されたクライアントにも引き継がれます(#2471)
    - WebSocketClient::set_hostname_addr_map() を追加して、ハンドシェイクおよび証明書検証のために元のホスト名を維持しながら特定の IP アドレスに接続します(#2463)

    ## 動作の変更

    - リクエスト本文は、ルートマッチングおよびリクエスト前ハンドラーの後に読み込まれるようになり、通常のハンドラーパスと ContentReader パスの両方が同じように動作します:ルートマッチング事前リクエストハンドラー本文読み取りハンドラー。リクエスト前ハンドラーによって拒否されたリクエスト(例:req.matched_route によるルートごとの認証の失敗)は、本文をまったくバッファリングしなくなりました。注:事前リクエストハンドラー内の req.body または本文から派生したフォームフィールドを参照するコードには、空の本文が表示されます。代わりにヘッダー、パス、クエリパラメーター、またはmatched_route検査します
    - カスタム CA がある WebSocketClient は、システム CA 証明書をマージしなくなりました(以前は常にマージされていました)。これは SSLClient の動作と一致します。enable_system_ca(true) を呼び出して、カスタムCAと一緒にシステムCA証明書をロードします
    - 長さ不明なストリーミング応答に対して、範囲リクエストヘッダーが、無効な応答を生成するのではなく無視されるようになりました(#2465)

    ## バグ修正

    - SSLClient::set_ca_cert_store() がカスタムCA排他性を破る問題を修正します:システムCA証明書は、ユーザー提供のストアにサイレントにマージされ、信頼セットが広がりました。また、HTTPS リダイレクト用に作成されたクライアントに CA 証明書を継承しない Client::load_ca_cert_store() を修正します
    - アップグレードのハンドシェイク中に WebSocketClient が URL からクエリ文字列をドロップし、クエリパラメーター(認証トークンなど)が送信されるように修正します(#2468)
    - set_ca_cert_store() 後に WebSocketClient を再接続する際の use-after-free、および Mbed TLS および wolfSSL set_ca_cert_store() バックエンドのメモリ漏洩を修正します
    - SHA パディングコードでの MSVC 警告 C4309 (定数値の切り捨て)を修正します(#2464)
    - 負の char 値による未定義の動作を回避するために、is_hex および is_token_char の ctype を呼び出す前に符号なし char へキャストします(#2469)

    情報源: https://github.com/yhirose/cpp-httplib/releases/tag/v0.47.0


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 43 ホストには、FEDORA-2026-1d4bd0354a のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    # 0.48.0 への更新 (rhbz#2481109)

    ## セキュリティ修正

    - Mbed TLS および wolfSSL バックエンドに対する v0.47.0 から IP-host 証明書 ID の修正を完了します。IP リテラルホストは現在、一致する iPAddress SAN を介してのみ認証され、OpenSSL バックエンドがすでに X509_check_ip を通じて強制しているものと一致する証明書のコモンネーム(RFC 9110)を介しては認証されません。以前は、これらのバックエンドは一致する IP SAN がない場合に CN にフォールバックし、IPv4 のみを認識していました。現在は IPv6(16 バイト)iPAddress SAN も一致し、IPv4 と IPv6 リテラルホストの両方について CN フォールバックがスキップされます(#2476)

    ## 改善点

    - double の strtod ベースのfrom_charsを、手書きのロケールに依存しないパーサーに置き換えます。ライブラリによって二重解析される唯一のものは、HTTP 品質値です。strtod はグローバル C ロケールから小数点セパレーターを読み取るため、コンマ十進数ロケールへの setlocale(LC_ALL, ) を呼び出すエンベダーは、q 値を誤って解析します。新しいパーサーは常に を扱います。小数点を区切り文字として使用し、割り当てフリーです(修正 #2475)
    - OpenSSL 4.0 の廃止警告を修正します:スレッドセーフな X509_STORE_get1_objects()(OpenSSL 3.3+)を介してオブジェクトをフェッチCA保存し、廃止された X509_STORE_get0_objects() および X509_NAME_get_text_by_NID() の代わりに X509_NAME_get_index_by_NID()/X509_NAME_get_entry() を介して対象 CN を抽出します。古い OpenSSL、BoringSSL および LibreSSL は、get0 パスを使用し続けます。OpenSSL 4.0.1、 3.6.2 および 3.0

    ## 動作の変更

    - decode_query_component() はパーセントエスケープに対して厳密な 16 進解析を使用するようになりました。これは decode_uri_component() および decode_path_component() と一致するようになっています。% の後に非 16 進文字(例: %-1、%+5、% 5 などの記号または空白)が続くと、有効なエスケープ(#2472)として受け入れられる代わりに、そのまま渡されます

    情報源: https://github.com/yhirose/cpp-httplib/releases/tag/v0.48.0

    # 0.47.0 への更新(rhbz#2481109、 CVE-2026-46527、 CVE-2026-45372、 CVE-2026-45352)

    ## セキュリティ修正

    - Mbed TLS および wolfSSL バックエンドの IP リテラルホストに対する TLS 証明書チェーン検証バイパスを修正します:
    サーバー証明書の検証が有効になっている場合、SSLClient はチェーン検証を完全にスキップし(IP SAN が一致する信頼できない証明書はすべて受け入れられます)、Mbed TLS の WebSocketClient は検証を完全にスキップしていました。IP ホストに対してチェーン検証が有効なままになり、証明書の身元は、すべてのバックエンドの IP SAN に対するハンドシェイク後に検証されます。RFC 6066 にしたがって、SNI は Mbed TLS および wolfSSL で IP ホストに送信されなくなりました([CVE-2026-54919](https://github.com/yhirose/cpp-httplib/security/advisories/GHSA-8ffh-4p95-g3p2))

    ## 新機能

    - Add Server::set_start_handler():サーバーが接続を受け入れる準備ができたときに呼び出されるコールバック。バックグラウンドスレッドでサーバーを実行するときに便利です(#2467)
    - Client/SSLClient/WebSocketClient::enable_system_ca(bool)を追加して、カスタムCAとともにシステムCA証明書をロードすることを選択します。デフォルトは変更されず、カスタム CA は引き続き排他的です。この設定は、HTTPSリダイレクト用に作成されたクライアントにも引き継がれます(#2471)
    - WebSocketClient::set_hostname_addr_map() を追加して、ハンドシェイクおよび証明書検証のために元のホスト名を維持しながら特定の IP アドレスに接続します(#2463)

    ## 動作の変更

    - リクエスト本文は、ルートマッチングおよびリクエスト前ハンドラーの後に読み込まれるようになり、通常のハンドラーパスと ContentReader パスの両方が同じように動作します:ルートマッチング事前リクエストハンドラー本文読み取りハンドラー。リクエスト前ハンドラーによって拒否されたリクエスト(例:req.matched_route によるルートごとの認証の失敗)は、本文をまったくバッファリングしなくなりました。注:事前リクエストハンドラー内の req.body または本文から派生したフォームフィールドを参照するコードには、空の本文が表示されます。代わりにヘッダー、パス、クエリパラメーター、またはmatched_route検査します
    - カスタム CA がある WebSocketClient は、システム CA 証明書をマージしなくなりました(以前は常にマージされていました)。これは SSLClient の動作と一致します。enable_system_ca(true) を呼び出して、カスタムCAと一緒にシステムCA証明書をロードします
    - 長さ不明なストリーミング応答に対して、範囲リクエストヘッダーが、無効な応答を生成するのではなく無視されるようになりました(#2465)

    ## バグ修正

    - SSLClient::set_ca_cert_store() がカスタムCA排他性を破る問題を修正します:システムCA証明書は、ユーザー提供のストアにサイレントにマージされ、信頼セットが広がりました。また、HTTPS リダイレクト用に作成されたクライアントに CA 証明書を継承しない Client::load_ca_cert_store() を修正します
    - アップグレードのハンドシェイク中に WebSocketClient が URL からクエリ文字列をドロップし、クエリパラメーター(認証トークンなど)が送信されるように修正します(#2468)
    - set_ca_cert_store() 後に WebSocketClient を再接続する際の use-after-free、および Mbed TLS および wolfSSL set_ca_cert_store() バックエンドのメモリ漏洩を修正します
    - SHA パディングコードでの MSVC 警告 C4309 (定数値の切り捨て)を修正します(#2464)
    - 負の char 値による未定義の動作を回避するために、is_hex および is_token_char の ctype を呼び出す前に符号なし char へキャストします(#2469)

    情報源: https://github.com/yhirose/cpp-httplib/releases/tag/v0.47.0


Tenable は、前述の記述ブロックを Fedora セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - cpp-httplib は、C++11 単一ファイルヘッダー専用クロスプラットフォーム HTTP/HTTPS ライブラリです。0.43.4以前は、チャンク転送エンコーディングでチャンクサイズが負になると、際限のないメモリ割り当てとプロセスのクラッシュが発生します。cpp-httplib(httplib.h)の ChunkedDecoder::read_payload 関数は、std::strtoul() を使用してHTTPチャンク転送エンコーディングのチャンクサイズフィールドを解析します。C 標準(7.22.1.4)に従って、strtoul は先行するマイナス記号を静かに受け入れ、符号なしのラップアラウンドを実行します:strtoul(-2, , 16) は 1 (0xFFFFFFFFFFFFFFFE) ULONG_MAXを返します。ライブラリの唯一のガード(12833行目)はULONG_MAX(-1の結果)を拒否しますが、-2などの他の負の値は検証に合格します。結果として生じるほぼ最大値が chunk_remaining に格納され、サーバーの読み取りループがネットワークから消費するバイト数を制御します。この脆弱性は 0.43.4 で修正されました。(CVE-2026-45352)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Fedora 44 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-1b15ac058b advisory.

    # Update to 0.48.0 (rhbz#2481109)

    ## Security fixes

    - Complete the IP-host certificate identity fix from v0.47.0 for the     Mbed TLS and wolfSSL backends. An IP-literal host is now authenticated     only via a matching iPAddress SAN, never via the certificate's Common     Name (RFC 9110)  matching what the OpenSSL backend already enforces     through X509_check_ip. Previously these backends fell back to the CN     when no IP SAN matched, and recognized IPv4 only; now IPv6 (16-byte)     iPAddress SANs are matched as well, and the CN fallback is skipped for     both IPv4 and IPv6 literal hosts (#2476)

    ## Improvements

    - Replace the strtod-based from_chars for double with a hand-written,     locale-independent parser. The only double parsed by the library is the     HTTP quality value; strtod reads the decimal separator from the global C     locale, so an embedder calling setlocale(LC_ALL, ) into a     comma-decimal locale would mis-parse q-values. The new parser always     treats . as the decimal separator and is allocation-free (Fix #2475)
    - Fix OpenSSL 4.0 deprecation warnings: fetch CA store objects via the     thread-safe X509_STORE_get1_objects() (OpenSSL 3.3+) and extract the     subject CN via X509_NAME_get_index_by_NID()/X509_NAME_get_entry()     instead of the deprecated X509_STORE_get0_objects() and     X509_NAME_get_text_by_NID(). Older OpenSSL, BoringSSL, and LibreSSL keep     using the get0 path. Verified warning-free against OpenSSL 4.0.1, 3.6.2,     and 3.0

    ## Behavior changes

    - decode_query_component() now uses strict hex parsing for     percent-escapes, consistent with decode_uri_component() and     decode_path_component(). A % followed by non-hex characters (e.g. a sign     or whitespace such as %-1, %+5, % 5) is passed through literally instead     of being accepted as a valid escape (#2472)

    Source: https://github.com/yhirose/cpp-httplib/releases/tag/v0.48.0

    # Update to 0.47.0 (rhbz#2481109, CVE-2026-46527, CVE-2026-45372, CVE-2026-45352)

    ## Security fixes

    - Fix TLS certificate chain verification bypass for IP-literal hosts on the Mbed TLS and wolfSSL backends:
    with server certificate verification enabled, SSLClient skipped chain validation entirely (any untrusted     certificate with a matching IP SAN was accepted), and WebSocketClient on Mbed TLS skipped verification     altogether. Chain verification now stays enabled for IP hosts, and certificate identity is verified post-     handshake against IP SANs on all backends. SNI is no longer sent for IP hosts on Mbed TLS and wolfSSL, per     RFC 6066 ([CVE-2026-54919](https://github.com/yhirose/cpp-     httplib/security/advisories/GHSA-8ffh-4p95-g3p2))

    ## New features

    - Add Server::set_start_handler(): a callback invoked when the server is ready to accept connections,     useful when running the server in a background thread (#2467)
    - Add Client/SSLClient/WebSocketClient::enable_system_ca(bool) to opt into loading system CA certificates     alongside a custom CA. The default is unchanged: a custom CA remains exclusive. The setting carries over     to clients created for HTTPS redirects (#2471)
    - Add WebSocketClient::set_hostname_addr_map() to connect to a specific IP address while keeping the     original hostname for the handshake and certificate verification (#2463)

    ## Behavior changes

    - The request body is now read after route matching and the pre-request handler, so both the regular     handler and ContentReader paths behave the same: route matching  pre-request handler  body read     handler. A request rejected by the pre-request handler (e.g. failed per-route authentication via     req.matched_route) no longer buffers the body at all. Note: code that referenced req.body or body-derived     form fields inside the pre-request handler will now see an empty body; inspect headers, path, query     parameters, or matched_route instead
    - WebSocketClient with a custom CA no longer merges system CA certificates (it previously always merged     them). This matches SSLClient behavior; call enable_system_ca(true) to load system CA certificates     alongside the custom CA
    - Range request headers are now ignored for streaming responses of unknown length instead of producing an     invalid response (#2465)

    ## Bug fixes

    - Fix SSLClient::set_ca_cert_store() breaking custom-CA exclusivity: system CA certificates were silently     merged into the user-provided store, broadening the trust set. Also fix Client::load_ca_cert_store() not     carrying CA certificates over to clients created for HTTPS redirects
    - Fix WebSocketClient dropping the query string from the URL during the upgrade handshake, so query     parameters (e.g. auth tokens) are sent (#2468)
    - Fix a use-after-free when reconnecting a WebSocketClient after set_ca_cert_store(), and a memory leak in     the Mbed TLS and wolfSSL set_ca_cert_store() backends
    - Fix MSVC warning C4309 (truncation of constant value) in SHA padding code (#2464)
    - Cast to unsigned char before ctype calls in is_hex and is_token_char to avoid undefined behavior with     negative char values (#2469)

    Source: https://github.com/yhirose/cpp-httplib/releases/tag/v0.47.0


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Fedora 43 host has a package installed that is affected by multiple vulnerabilities as referenced in the FEDORA-2026-1d4bd0354a advisory.

    # Update to 0.48.0 (rhbz#2481109)

    ## Security fixes

    - Complete the IP-host certificate identity fix from v0.47.0 for the     Mbed TLS and wolfSSL backends. An IP-literal host is now authenticated     only via a matching iPAddress SAN, never via the certificate's Common     Name (RFC 9110)  matching what the OpenSSL backend already enforces     through X509_check_ip. Previously these backends fell back to the CN     when no IP SAN matched, and recognized IPv4 only; now IPv6 (16-byte)     iPAddress SANs are matched as well, and the CN fallback is skipped for     both IPv4 and IPv6 literal hosts (#2476)

    ## Improvements

    - Replace the strtod-based from_chars for double with a hand-written,     locale-independent parser. The only double parsed by the library is the     HTTP quality value; strtod reads the decimal separator from the global C     locale, so an embedder calling setlocale(LC_ALL, ) into a     comma-decimal locale would mis-parse q-values. The new parser always     treats . as the decimal separator and is allocation-free (Fix #2475)
    - Fix OpenSSL 4.0 deprecation warnings: fetch CA store objects via the     thread-safe X509_STORE_get1_objects() (OpenSSL 3.3+) and extract the     subject CN via X509_NAME_get_index_by_NID()/X509_NAME_get_entry()     instead of the deprecated X509_STORE_get0_objects() and     X509_NAME_get_text_by_NID(). Older OpenSSL, BoringSSL, and LibreSSL keep     using the get0 path. Verified warning-free against OpenSSL 4.0.1, 3.6.2,     and 3.0

    ## Behavior changes

    - decode_query_component() now uses strict hex parsing for     percent-escapes, consistent with decode_uri_component() and     decode_path_component(). A % followed by non-hex characters (e.g. a sign     or whitespace such as %-1, %+5, % 5) is passed through literally instead     of being accepted as a valid escape (#2472)

    Source: https://github.com/yhirose/cpp-httplib/releases/tag/v0.48.0

    # Update to 0.47.0 (rhbz#2481109, CVE-2026-46527, CVE-2026-45372, CVE-2026-45352)

    ## Security fixes

    - Fix TLS certificate chain verification bypass for IP-literal hosts on the Mbed TLS and wolfSSL backends:
    with server certificate verification enabled, SSLClient skipped chain validation entirely (any untrusted     certificate with a matching IP SAN was accepted), and WebSocketClient on Mbed TLS skipped verification     altogether. Chain verification now stays enabled for IP hosts, and certificate identity is verified post-     handshake against IP SANs on all backends. SNI is no longer sent for IP hosts on Mbed TLS and wolfSSL, per     RFC 6066 ([CVE-2026-54919](https://github.com/yhirose/cpp-     httplib/security/advisories/GHSA-8ffh-4p95-g3p2))

    ## New features

    - Add Server::set_start_handler(): a callback invoked when the server is ready to accept connections,     useful when running the server in a background thread (#2467)
    - Add Client/SSLClient/WebSocketClient::enable_system_ca(bool) to opt into loading system CA certificates     alongside a custom CA. The default is unchanged: a custom CA remains exclusive. The setting carries over     to clients created for HTTPS redirects (#2471)
    - Add WebSocketClient::set_hostname_addr_map() to connect to a specific IP address while keeping the     original hostname for the handshake and certificate verification (#2463)

    ## Behavior changes

    - The request body is now read after route matching and the pre-request handler, so both the regular     handler and ContentReader paths behave the same: route matching  pre-request handler  body read     handler. A request rejected by the pre-request handler (e.g. failed per-route authentication via     req.matched_route) no longer buffers the body at all. Note: code that referenced req.body or body-derived     form fields inside the pre-request handler will now see an empty body; inspect headers, path, query     parameters, or matched_route instead
    - WebSocketClient with a custom CA no longer merges system CA certificates (it previously always merged     them). This matches SSLClient behavior; call enable_system_ca(true) to load system CA certificates     alongside the custom CA
    - Range request headers are now ignored for streaming responses of unknown length instead of producing an     invalid response (#2465)

    ## Bug fixes

    - Fix SSLClient::set_ca_cert_store() breaking custom-CA exclusivity: system CA certificates were silently     merged into the user-provided store, broadening the trust set. Also fix Client::load_ca_cert_store() not     carrying CA certificates over to clients created for HTTPS redirects
    - Fix WebSocketClient dropping the query string from the URL during the upgrade handshake, so query     parameters (e.g. auth tokens) are sent (#2468)
    - Fix a use-after-free when reconnecting a WebSocketClient after set_ca_cert_store(), and a memory leak in     the Mbed TLS and wolfSSL set_ca_cert_store() backends
    - Fix MSVC warning C4309 (truncation of constant value) in SHA padding code (#2464)
    - Cast to unsigned char before ctype calls in is_hex and is_token_char to avoid undefined behavior with     negative char values (#2469)

    Source: https://github.com/yhirose/cpp-httplib/releases/tag/v0.47.0


Tenable has extracted the preceding description block directly from the Fedora security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - cpp-httplib is a C++11 single-file header-only cross platform HTTP/HTTPS library. Prior to 0.43.4,     negative chunk-size in chunked Transfer-Encoding causes unbounded memory allocation and process crash. The     ChunkedDecoder::read_payload function in cpp-httplib (httplib.h) parses the chunk-size field of HTTP     chunked transfer encoding using std::strtoul(). Per the C standard (7.22.1.4), strtoul silently accepts a     leading minus sign, performing unsigned wrap-around: strtoul(-2, , 16) returns ULONG_MAX  1     (0xFFFFFFFFFFFFFFFE). The library's only guard (line 12833) rejects ULONG_MAX (the result of -1), but     any other negative value such as -2 passes validation. The resulting near-maximum value is stored in     chunk_remaining and controls how many bytes the server's read loop consumes from the network. This     vulnerability is fixed in 0.43.4. (CVE-2026-45352)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
318020	Linux Distros 未修補弱點：CVE-2026-45352	Nessus	Misc.	5/30/2026	6/5/2026	high
318020	Linux Distros 未修补的漏洞：CVE-2026-45352	Nessus	Misc.	5/30/2026	6/5/2026	high
324926	Fedora 44:cpp-httplib(2026-1b15ac058b)	Nessus	Fedora Local Security Checks	7/3/2026	7/3/2026	high
324986	Fedora 43:cpp-httplib(2026-1d4bd0354a)	Nessus	Fedora Local Security Checks	7/3/2026	7/3/2026	high
318020	Linux Distros のパッチ未適用の脆弱性: CVE-2026-45352	Nessus	Misc.	5/30/2026	6/5/2026	high
324926	Fedora 44 : cpp-httplib (2026-1b15ac058b)	Nessus	Fedora Local Security Checks	7/3/2026	7/3/2026	high
324986	Fedora 43 : cpp-httplib (2026-1d4bd0354a)	Nessus	Fedora Local Security Checks	7/3/2026	7/3/2026	high
318020	Linux Distros Unpatched Vulnerability : CVE-2026-45352	Nessus	Misc.	5/30/2026	6/5/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high