Dart HTTP库曝CRLF注入漏洞，0.13.3版本以下需紧急修复
漏洞概述
在Dart语言的http包（版本0.13.3之前）中发现一个问题。如果攻击者能够控制HTTP方法，并且应用程序直接使用Request对象，则有可能通过HTTP头注入实现对HTTP请求的CRLF注入攻击。
影响范围
- 受影响的包: http (Pub)
- 受影响版本: < 0.13.3
- 已修复版本: 0.13.3
技术细节
该漏洞允许攻击者通过控制HTTP方法，在HTTP请求中注入CRLF序列，从而实现HTTP头注入攻击。CRLF注入是一种常见的Web安全漏洞，攻击者可以利用它向HTTP响应头中注入换行符，进而控制响应体、执行会话固定、跨站脚本攻击等。
修复方案
该问题已在commit abb2bb182中通过验证请求方法的方式得到解决。建议所有使用http包且版本低于0.13.3的项目立即升级到0.13.3或更高版本。
相关链接
漏洞评分
该漏洞被评为中等严重程度，CVSS v3基础评分为6.1分：
- 攻击向量: 网络
- 攻击复杂度: 低
- 所需权限: 无
- 用户交互: 需要
- 影响范围: 已改变
- 机密性影响: 低
- 完整性影响: 低
- 可用性影响: 无
弱点类型
- CWE-74: 对下游组件使用的输出中的特殊元素未进行适当中和（注入漏洞）FINISHED glyoVzOLZA9nMhz/bDHDAWzfRfZ0dSZtQUalpUyOmxd0smT7ANCSoLP6Nxgl7cdM3bB6HEFGCoW+h99SKN6pHg==
