CVE-2026-100724

Nome do Software Vulnerável e Versões Afetadas http4k versões anteriores a 6.49.0.0 http4k versão 5.42.0.0 http4k versão 4.51.0.0

Description Ao despachar para hosts virtuais configurados, as funções reverseProxy() e reverseProxyRouting() utilizam correspondência de substring no cabeçalho Host por padrão. Se essas funções forem implementadas como um manipulador HTTP de entrada voltado para o público com dois ou mais hosts virtuais configurados, um invasor remoto pode fornecer um cabeçalho Host que contenha apenas o nome de um vhost configurado para ser roteado para esse vhost, ignorando a autorização baseada em roteamento.

Recommendations Atualize para uma versão posterior a 6.49.0.0, 5.42.0.0 e 4.51.0.0. Como mitigação temporária, restrinja o uso de reverseProxy() e reverseProxyRouting() em manipuladores HTTP de entrada voltados para o público que gerenciem múltiplos hosts virtuais.