CVE-2026-100659

Nome do Software Vulnerável e Versões Afetadas netty-codec-http3 versões 4.2.0.Final through 4.2.17.Final

Description O codec HTTP/3 não impõe o requisito da RFC 9114 de que o campo de pseudo-cabeçalho :authority e um campo de cabeçalho host literal, quando ambos estiverem presentes, devem conter o mesmo valor. Um peer remoto não autenticado pode enviar um único quadro HEADERS contendo ambos os campos com valores divergentes controlados pelo atacante. A requisição é aceita e entregue à aplicação com duas autoridades conflitantes, permitindo a evasão de decisões de roteamento, host virtual e controle de acesso quando diferentes componentes no caminho da requisição consultam campos diferentes.

Recommendations Atualize o netty-codec-http3 para a versão 4.2.18.Final.