CVE-2026-59903

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.137.Final Netty versões anteriores a 4.2.17.Final

Description O io.netty.handler.codec.http.cors.CorsHandler contém um problema onde a função setVaryHeader() substitui os cabeçalhos Vary existentes da aplicação, como Authorization ou Cookie, pelo cabeçalho Origin. Este comportamento ocorre porque o método set() substitui todos os valores existentes para o cabeçalho. Quando uma aplicação de backend utiliza o cabeçalho Vary para garantir que caches intermediários, como Redes de Entrega de Conteúdo (CDNs), armazenem as respostas separadamente por usuário, essa substituição faz com que o proxy de cache ignore o contexto de autorização. Consequentemente, o proxy pode armazenar respostas com base apenas na URL e na Origem, permitindo potencialmente que usuários não autorizados recuperem dados sensíveis em cache de outros usuários por meio de envenenamento de cache (cache poisoning).

Recommendations Atualize para a versão 4.1.137.Final ou posterior. Atualize para a versão 4.2.17.Final ou posterior.