CVE-2026-100664

Nome do Software Vulnerável e Versões Afetadas netty-codec-http3 versões 4.2.2.Final through 4.2.17.Final

Description O codec HTTP/3 constrói incorretamente o pseudo-cabeçalho :authority a partir do cabeçalho Host do HTTP/1 antes de considerar a autoridade de um request-target de forma absoluta do HTTP/1. Isso ocorre na função toHttp3Headers(HttpMessage, boolean), acessada via Http3FrameToHttpObjectCodec(false), onde um cabeçalho Host não vazio tem precedência sobre a autoridade do request-target. Este comportamento contraria as regras do HTTP/1.1, que exigem que os servidores ignorem o cabeçalho Host quando um request-target de forma absoluta está presente. Em cenários envolvendo um gateway, proxy ou ponte de protocolo HTTP/1-para-HTTP/3 baseado em Netty, um cliente remoto pode causar confusão de autoridade enviando cabeçalhos conflitantes. Isso pode levar a discrepâncias no roteamento de host virtual, verificações de lista de permissões, seleção de backend, chaves de cache e geração de URL entre o gateway e o peer HTTP/3 upstream.

Recommendations Atualizar para a versão 4.2.18.Final.