CVE-2026-73548

Nome do Software Vulnerável e Versões Afetadas Envoy versões anteriores a 1.36.10 Envoy versões anteriores a 1.37.6 Envoy versões anteriores a 1.38.4 Envoy versões anteriores a 1.39.1

Description Um cliente HTTP/2 não autenticado pode explorar a maneira como o proxy encaminha dados para upgrades HTTP não-WebSocket configurados antes que o upstream os aceite. Ao colocar uma requisição HTTP/1.1 completa em dados CONNECT estendidos, o invasor pode fazer com que o proxy degrade a requisição e escreva os dados sem moldura (unframed) para um upstream HTTP/1.1 com keep-alive. Isso resulta em uma resposta contrabandeada (smuggled response) que permanece na fila do pool compartilhado, podendo ser recebida por um cliente downstream diferente. Este problema não afeta upgrades de WebSocket, CONNECT simples, keep-alive de backend desativado, pools por downstream ou configurações onde max requests per connection está definido como 1.

Recommendations Atualize para a versão 1.36.10. Atualize para a versão 1.37.6. Atualize para a versão 1.38.4. Atualize para a versão 1.39.1.