CVE-2026-73051

actix-http versions before 3.12.1 contain an HTTP request smuggling vulnerability in the HTTP/1.1 parser that accepts requests with both Content-Length and Transfer-Encoding: chunked headers. Unauthenticated remote attackers can exploit this through a front-end intermediary to desynchronize backend requests and smuggle malicious HTTP requests to the Actix service.

Database specific

{
    "cwe_ids": [
        "CWE-444"
    ],
    "osv_generated_from": "https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/73xxx/CVE-2026-73051.json",
    "cna_assigner": "VulnCheck"
}

References

Affected packages

Git / github.com/actix/actix-web

Affected ranges

Type

GIT

Repo

https://github.com/actix/actix-web

Events

Introduced

Fixed

a7a26f1ee0adfeabb5ee85a6eb2a62cff601a70b

Database specific

Show details

{
    "source": [
        "AFFECTED_FIELD",
        "DESCRIPTION"
    ],
    "extracted_events": [
        {
            "introduced": "0"
        },
        {
            "fixed": "3.12.0"
        },
        {
            "fixed": "3.12.1"
        }
    ]
}

Affected versions

0.*

0.7.15

0.7.16

0.7.17

0.7.18

actors-v1.*

actors-v1.0.0

actors-v1.0.1

actors-v1.0.2

actors-v1.0.3

actors-v2.*

actors-v2.0.0

actors-v3.*

actors-v3.0.0

actors-v3.0.0-alpha.1

actors-v3.0.0-beta.1

actors-v3.0.0-beta.2

actors-v4.*

actors-v4.0.0

actors-v4.0.0-beta.1

actors-v4.0.0-beta.10

actors-v4.0.0-beta.11

actors-v4.0.0-beta.12

actors-v4.0.0-beta.2

actors-v4.0.0-beta.4

actors-v4.0.0-beta.5

actors-v4.0.0-beta.6

actors-v4.0.0-beta.7

actors-v4.0.0-beta.8

actors-v4.0.0-beta.9

actors-v4.1.0

actors-v4.2.0

actors-v4.3.0

actors-v4.3.1

Other

awc

awc-v0.*

awc-v0.1.0

awc-v0.1.1

awc-v0.2.0

awc-v0.2.1

awc-v0.2.2

awc-v0.2.3

awc-v0.2.4

awc-v0.2.5

awc-v0.2.6

awc-v0.2.7

awc-v0.2.8

awc-v1.*

awc-v1.0.0

awc-v1.0.1

awc-v2.*

awc-v2.0.0

awc-v2.0.0-alpha.1

awc-v2.0.0-alpha.2

awc-v2.0.0-beta.1

awc-v2.0.0-beta.2

awc-v2.0.0-beta.3

awc-v2.0.0-beta.4

awc-v2.0.1

awc-v2.0.2

awc-v2.0.3

awc-v3.*

awc-v3.0.0

awc-v3.0.0-beta.1

awc-v3.0.0-beta.10

awc-v3.0.0-beta.11

awc-v3.0.0-beta.12

awc-v3.0.0-beta.13

awc-v3.0.0-beta.14

awc-v3.0.0-beta.15

awc-v3.0.0-beta.16

awc-v3.0.0-beta.17

awc-v3.0.0-beta.18

awc-v3.0.0-beta.19

awc-v3.0.0-beta.2

awc-v3.0.0-beta.20

awc-v3.0.0-beta.21

awc-v3.0.0-beta.3

awc-v3.0.0-beta.4

awc-v3.0.0-beta.5

awc-v3.0.0-beta.6

awc-v3.0.0-beta.7

awc-v3.0.0-beta.8

awc-v3.0.0-beta.9

awc-v3.0.1

awc-v3.1.0

awc-v3.1.1

awc-v3.2.0

awc-v3.3.0

awc-v3.4.0

awc-v3.5.0

awc-v3.5.1

awc-v3.6.0

awc-v3.7.0

awc-v3.8.0

awc-v3.8.1

codegen-v0.*

codegen-v0.1.0

codegen-v0.1.1

codegen-v0.1.2

codegen-v0.1.3

codegen-v0.2.1

codegen-v0.2.2

codegen-v0.3.0

codegen-v0.3.0-beta.1

codegen-v0.4.0

codegen-v0.5.0

codegen-v0.5.0-beta.1

codegen-v0.5.0-beta.2

codegen-v0.5.0-beta.3

codegen-v0.5.0-beta.4

codegen-v0.5.0-beta.5

codegen-v0.5.0-beta.6

codegen-v0.5.0-rc.1

codegen-v0.5.0-rc.2

codegen-v4.*

codegen-v4.0.0

codegen-v4.0.1

codegen-v4.1.0

codegen-v4.2.0

codegen-v4.2.1

codegen-v4.2.2

codegen-v4.3.0

cors-v0.*

cors-v0.1.0

cors-v0.2.0

files-v0.*

files-v0.1.0

files-v0.1.1

files-v0.1.2

files-v0.1.3

files-v0.1.4

files-v0.1.5

files-v0.1.6

files-v0.1.7

files-v0.2.0

files-v0.2.1

files-v0.3.0

files-v0.3.0-alpha.1

files-v0.3.0-beta.1

files-v0.4.0

files-v0.4.1

files-v0.5.0

files-v0.6.0

files-v0.6.0-beta.1

files-v0.6.0-beta.10

files-v0.6.0-beta.11

files-v0.6.0-beta.12

files-v0.6.0-beta.13

files-v0.6.0-beta.14

files-v0.6.0-beta.15

files-v0.6.0-beta.16

files-v0.6.0-beta.2

files-v0.6.0-beta.3

files-v0.6.0-beta.4

files-v0.6.0-beta.5

files-v0.6.0-beta.6

files-v0.6.0-beta.7

files-v0.6.0-beta.8

files-v0.6.0-beta.9

files-v0.6.1

files-v0.6.10

files-v0.6.2

files-v0.6.3

files-v0.6.4

files-v0.6.5

files-v0.6.6

files-v0.6.7

files-v0.6.8

files-v0.6.9

framed-v0.*

framed-v0.1.0

framed-v0.2.0

framed-v0.2.1

framed-v0.3.0

http-test-v0.*

http-test-v0.1.0

http-test-v0.1.1

http-test-v0.2.1

http-test-v0.2.2

http-test-v0.2.3

http-test-v0.2.5

http-test-v1.*

http-test-v1.0.0

http-test-v2.*

http-test-v2.0.0

http-test-v2.0.0-alpha.1

http-test-v2.1.0

http-test-v3.*

http-test-v3.0.0

http-test-v3.0.0-beta.10

http-test-v3.0.0-beta.11

http-test-v3.0.0-beta.12

http-test-v3.0.0-beta.13

http-test-v3.0.0-beta.2

http-test-v3.0.0-beta.3

http-test-v3.0.0-beta.4

http-test-v3.0.0-beta.5

http-test-v3.0.0-beta.6

http-test-v3.0.0-beta.7

http-test-v3.0.0-beta.8

http-test-v3.0.0-beta.9

http-test-v3.1.0

http-test-v3.2.0

http-v0.*

http-v0.1.0

http-v0.1.0-alpha.1

http-v0.1.1

http-v0.1.2

http-v0.1.3

http-v0.1.4

http-v0.1.5

http-v0.2.0

http-v0.2.1

http-v0.2.10

http-v0.2.11

http-v0.2.2

http-v0.2.3

http-v0.2.4

http-v0.2.5

http-v0.2.6

http-v0.2.7

http-v0.2.8

http-v0.2.9

http-v1.*

http-v1.0.0

http-v1.0.1

http-v2.*

http-v2.0.0

http-v2.0.0-alpha.1

http-v2.0.0-alpha.2

http-v2.0.0-alpha.3

http-v2.0.0-alpha.4

http-v2.0.0-beta.1

http-v2.0.0-beta.2

http-v2.0.0-beta.3

http-v2.0.0-beta.4

http-v2.1.0

http-v2.2.0

http-v3.*

http-v3.0.0

http-v3.0.0-beta.1

http-v3.0.0-beta.10

http-v3.0.0-beta.11

http-v3.0.0-beta.12

http-v3.0.0-beta.13

http-v3.0.0-beta.14

http-v3.0.0-beta.15

http-v3.0.0-beta.16

http-v3.0.0-beta.17

http-v3.0.0-beta.18

http-v3.0.0-beta.19

http-v3.0.0-beta.2

http-v3.0.0-beta.3

http-v3.0.0-beta.4

http-v3.0.0-beta.5

http-v3.0.0-beta.6

http-v3.0.0-beta.7

http-v3.0.0-beta.8

http-v3.0.0-rc.1

http-v3.0.0-rc.2

http-v3.0.0-rc.3

http-v3.0.0-rc.4

http-v3.0.1

http-v3.0.2

http-v3.0.3

http-v3.0.4

http-v3.1.0

http-v3.10.0

http-v3.11.0

http-v3.11.1

http-v3.11.2

http-v3.2.0

http-v3.2.1

http-v3.2.2

http-v3.3.0

http-v3.3.1

http-v3.4.0

http-v3.5.0

http-v3.5.1

http-v3.6.0

http-v3.7.0

http-v3.8.0

http-v3.9.0

identity-v0.*

identity-v0.1.0

identity-v0.2.0

identity-v0.2.1

multipart-derive-v0.*

multipart-derive-v0.6.0

multipart-derive-v0.6.1

multipart-derive-v0.7.0

multipart-v0.*

multipart-v0.1.0

multipart-v0.1.0-beta.1

multipart-v0.1.1

multipart-v0.1.2

multipart-v0.1.3

multipart-v0.1.4

multipart-v0.2.0

multipart-v0.3.0

multipart-v0.3.0-beta.1

multipart-v0.3.0-beta.2

multipart-v0.4.0

multipart-v0.4.0-beta.1

multipart-v0.4.0-beta.10

multipart-v0.4.0-beta.11

multipart-v0.4.0-beta.12

multipart-v0.4.0-beta.13

multipart-v0.4.0-beta.2

multipart-v0.4.0-beta.3

multipart-v0.4.0-beta.4

multipart-v0.4.0-beta.5

multipart-v0.4.0-beta.6

multipart-v0.4.0-beta.7

multipart-v0.4.0-beta.8

multipart-v0.4.0-beta.9

multipart-v0.5.0

multipart-v0.6.0

multipart-v0.6.1

multipart-v0.6.2

multipart-v0.7.0

multipart-v0.7.1

multipart-v0.7.2

router-v0.*

router-v0.5.0

router-v0.5.0-beta.2

router-v0.5.0-beta.3

router-v0.5.0-beta.4

router-v0.5.0-rc.1

router-v0.5.0-rc.2

router-v0.5.0-rc.3

router-v0.5.1

router-v0.5.2

router-v0.5.3

router-v0.5.4

session-v0.*

session-v0.1.0

session-v0.1.0-beta.2

session-v0.1.1

session-v0.2.0

session-v0.3.0

test-v0.*

test-v0.1.0

test-v0.1.0-beta.1

test-v0.1.0-beta.10

test-v0.1.0-beta.11

test-v0.1.0-beta.12

test-v0.1.0-beta.13

test-v0.1.0-beta.2

test-v0.1.0-beta.3

test-v0.1.0-beta.4

test-v0.1.0-beta.5

test-v0.1.0-beta.6

test-v0.1.0-beta.7

test-v0.1.0-beta.8

test-v0.1.0-beta.9

test-v0.1.1

test-v0.1.2

test-v0.1.3

test-v0.1.4

test-v0.1.5

v0.*

v0.2.0

v0.2.1

v0.3.0

v0.3.1

v0.3.2

v0.3.3

v0.4.0

v0.4.1

v0.4.10

v0.4.2

v0.4.3

v0.4.4

v0.4.5

v0.4.6

v0.4.7

v0.4.8

v0.4.9

v0.5.0

v0.5.1

v0.5.2

v0.5.3

v0.5.4

v0.5.5

v0.6.0

v0.6.1

v0.6.10

v0.6.2

v0.6.3

v0.6.4

v0.6.5

v0.6.6

v0.6.7

v0.6.8

v0.6.9

v0.7.0

v0.7.1

v0.7.10

v0.7.11

v0.7.12

v0.7.13

v0.7.14

v0.7.2

v0.7.3

v0.7.4

v0.7.5

v0.7.6

v0.7.7

v0.7.8

v0.7.9

v1.*

v1.0.0-alpha.2

v1.0.0-alpha.3

v1.0.0-alpha.4

v1.0.0-alpha.5

v1.0.0-alpha.6

v1.0.0-beta.1

v2.*

v2.0.0-alpha.1

v2.0.0-alpha.3

web-actors-v4.*

web-actors-v4.0.0-beta.3

web-v1.*

web-v1.0.0

web-v1.0.0-beta.2

web-v1.0.0-beta.3

web-v1.0.0-beta.4

web-v1.0.0-rc

web-v1.0.1

web-v1.0.2

web-v1.0.3

web-v1.0.4

web-v1.0.5

web-v1.0.6

web-v1.0.7

web-v1.0.8

web-v1.0.9

web-v2.*

web-v2.0.0

web-v2.0.0-rc

web-v3.*

web-v3.0.0

web-v3.0.0-alpha.1

web-v3.0.0-alpha.2

web-v3.0.0-alpha.3

web-v3.0.0-beta.1

web-v3.0.0-beta.2

web-v3.0.0-beta.3

web-v3.0.0-beta.4

web-v3.0.1

web-v3.0.2

web-v3.1.0

web-v3.2.0

web-v3.3.0

web-v3.3.1

web-v3.3.2

web-v4.*

web-v4.0.0

web-v4.0.0-beta.1

web-v4.0.0-beta.10

web-v4.0.0-beta.11

web-v4.0.0-beta.12

web-v4.0.0-beta.13

web-v4.0.0-beta.14

web-v4.0.0-beta.15

web-v4.0.0-beta.16

web-v4.0.0-beta.17

web-v4.0.0-beta.18

web-v4.0.0-beta.19

web-v4.0.0-beta.2

web-v4.0.0-beta.20

web-v4.0.0-beta.21

web-v4.0.0-beta.3

web-v4.0.0-beta.4

web-v4.0.0-beta.5

web-v4.0.0-beta.6

web-v4.0.0-beta.7

web-v4.0.0-beta.8

web-v4.0.0-beta.9

web-v4.0.0-rc.1

web-v4.0.0-rc.2

web-v4.0.0-rc.3

web-v4.0.1

web-v4.1.0

web-v4.10.0

web-v4.10.1

web-v4.10.2

web-v4.11.0

web-v4.12.0

web-v4.12.1

web-v4.2.0

web-v4.2.1

web-v4.3.0

web-v4.3.1

web-v4.4.0

web-v4.4.1

web-v4.5.0

web-v4.5.1

web-v4.6.0

web-v4.7.0

web-v4.8.0

web-v4.9.0

Database specific

source

"https://storage.googleapis.com/cve-osv-conversion/osv-output/CVE-2026-73051.json"