Contrebande de requêtes HTTP HTTP Request Smuggling
L'attaquant exploite un désaccord entre le proxy frontal et le serveur d'arrière-plan sur les limites d'un message HTTP (variantes CL.TE, TE.CL, TE.TE). Il fait passer une requête sous le nez du WAF et plaque un préfixe malveillant sur la requête d'une autre victime.
James Kettle (PortSwigger) a relancé le sujet en 2019 avec une recherche détaillée ; PayPal figure parmi les victimes de failles divulguées. Atténuation : frontal et arrière-plan doivent appliquer un analyseur HTTP strict, et préférer HTTP/2 de bout en bout, dont le découpage des messages est plus net. Défense en profondeur : ne pas réutiliser les connexions vers l'arrière-plan, valider Transfer-Encoding et Content-Length. HTTP/2 et HTTP/3 réduisent la surface, mais ont leurs propres soucis (contrebande h2c, empoisonnement de cache).