Jetty является сервером на основе Java и сервлетным движком. До версий 9.4.52, 10.0.16, 11.0.16 и 12.0.1 Jetty принимает символ `+` перед з…

Jetty является сервером на основе Java и сервлетным движком. До версий 9.4.52, 10.0.16, 11.0.16 и 12.0.1 Jetty принимает символ `+` перед значением content-length в заголовке HTTP/1. Это более разрешительно, чем разрешено RFC, и другие серверы обычно отвергают такие запросы с ответами 400. Известных сценариев эксплуатации нет, но можно предположить, что штурмование запросов может произойти, если jetty используется в сочетании с сервером, который не закрывает соединение после отправки такого ответа 400. Версии 9.4.52, 10.0.16, 11.0.16 и 12.0.1 содержат патч для этой проблемы. Нет обходных путей, так как известного сценария эксплуатации нет.