PT-2026-63548
CVE-2026-59900
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.136.Final
إصدارات Netty السابقة للإصدار 4.2.16.Final
الوصف
تفشل طبقة الترجمة من HTTP/2 إلى HTTP/1.x، وتحديدًا داخل
Http2StreamFrameToHttpObjectCodec وInboundHttp2ToHttpAdapter، في إزالة التكرار أو التحقق من صحة رؤوس Host. عندما يقدم عميل HTTP/2 كلًا من الرأس الزائف :authority ورأس host الحرفي في إطار HEADERS واحد، يقوم المترجم بتعيين :authority إلى Host مع نسخ رأس host الحرفي في الوقت نفسه. وينتج عن ذلك كائن HttpRequest يحتوي على رأسين Host بقيم مختلفة يتحكم فيها المهاجم.التوصيات
التحديث إلى الإصدار 4.1.136.Final أو أحدث.
التحديث إلى الإصدار 4.2.16.Final أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾