CVE-2026-100724
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
http4k (pakiet Maven org.http4k:http4k-core) przed wersjami 6.49.0.0, 5.42.0.0 i 4.51.0.0 domyślnie używa dopasowywania podciągów (zawiera) w nagłówku hosta w funkcjach ReverseProxy() i ReverseProxyRouting() podczas wysyłania do skonfigurowanych hostów wirtualnych. Jeśli te funkcje zostaną wdrożone jako publiczna procedura obsługi przychodzącego protokołu HTTP z dwoma lub większą liczbą skonfigurowanych wirtualnych hostów, osoba atakująca zdalnie może dostarczyć nagłówek hosta, który zawiera jedynie skonfigurowaną nazwę vhosta (na przykład Host: admin.evil.com w przypadku vhosta skonfigurowanego jako „admin”) i zostać przekierowany do tego vhosta, omijając autoryzację opartą na routingu. Nie ma to wpływu na zamierzone zastosowania w zakresie wysyłania wiadomości wychodzących i czasu testowania, w przypadku których wartość Host jest ustawiana przez aplikację wywołującą.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org