Se ha descubierto una vulnerabilidad crítica en Gakido, una biblioteca cliente HTTP de HappyHackingSpace, que permite a los atacantes inyectar encabezados HTTP arbitrarios mediante secuencias CRLF (Carriage Return Line Feed).

Registrada como CVE-2026-24489 bajo el aviso RO-26-005, la vulnerabilidad afecta a todas las versiones anteriores a la 0.1.1-1bc6019 y tiene una calificación de gravedad media.

El fallo permite a los atacantes eludir controles de seguridad del lado del servidor, envenenar cachés y manipular respuestas HTTP mediante ataques de inyección de encabezados diseñados.

La vulnerabilidad existe en la lógica de procesamiento de encabezados de Gakido, específicamente en la función canonicalize_headers() en gakido/headers.py.

Cuando una aplicación pasa valores de encabezados controlados por el usuario que contienen secuencias CRLF (\r\n), caracteres de salto de línea (\n) o bytes nulos (\x00) a los métodos de solicitud de Gakido, estos caracteres no se sanitizan correctamente antes de ser transmitidos en las solicitudes HTTP.

Esta validación insuficiente de la entrada permite a los atacantes inyectar encabezados HTTP arbitrarios en solicitudes legítimas, comprometiendo fundamentalmente la integridad de las comunicaciones HTTP.

Un atacante que explote esta vulnerabilidad puede ejecutar múltiples vectores de ataque con un impacto significativo en los negocios.

Al inyectar encabezados maliciosos, un atacante puede añadir encabezados no autorizados a las solicitudes, manipular respuestas HTTP mediante inyección de encabezados en configuraciones de proxy y envenenar cachés intermedias al inyectar encabezados relacionados con el control de caché.

Además, los atacantes pueden explotar la fijación de sesión al inyectar encabezados relacionados con sesiones para eludir controles de seguridad del lado del servidor diseñados para proteger recursos.

La vulnerabilidad resulta especialmente peligrosa en escenarios donde las aplicaciones aceptan entrada de usuario para encabezados HTTP sin una validación adecuada. La prueba de concepto demuestra la simplicidad de la explotación.

# Antes de la corrección: El encabezado X-Injected se enviaría como un encabezado separado
c = Client(impersonate="chrome_120")
r = c.get("https://httpbin.org/headers", headers={
    "User-Agent": "test\r\nX-Injected: pwned"
})

Al instanciar un cliente Gakido con la suplantación habilitada y pasar un encabezado User-Agent que contenga secuencias CRLF seguidas de un encabezado malicioso X-Injected, los atacantes pueden inyectar con éxito encabezados no autorizados en las solicitudes HTTP enviadas a través de la biblioteca.

Resumen de la vulnerabilidad

El descubrimiento fue reportado el 25 de enero de 2026 y divulgado públicamente el 27 de enero de 2026, dejando al equipo de desarrollo un tiempo mínimo para prepararse antes de que se hiciera pública.

El equipo de seguridad lanzó rápidamente la versión parcheada 0.1.1-1bc6019, disponible a través del repositorio GitHub del proyecto.

Los usuarios de Gakido deben actualizar inmediatamente a la versión parcheada para mitigar el riesgo de ataques de inyección de encabezados.

Según el aviso de Rosecurify, las organizaciones que utilizan Gakido en entornos de producción deben priorizar esta actualización, especialmente aquellas que manejan comunicaciones HTTP sensibles o aplicaciones que aceptan valores de encabezados proporcionados por el usuario.

La vulnerabilidad subraya la importancia crítica de la sanitización de entradas en bibliotecas cliente HTTP. Destaca por qué los investigadores de seguridad deben ejercer precaución al trabajar con bibliotecas externas que manejan primitivas de comunicación de red.

Detalles técnicos adicionales y la implementación completa de la corrección están disponibles a través del aviso oficial de GitHub (GHSA-gcgx-chcp-hxp9) y el commit correspondiente (369c67e) en el repositorio.