CVE-2026-100659 in Netty
الملخص
بحسب VulDB • 26/09/2026
لا يفرض معرّف HTTP/3 الخاص بـ Netty (io.netty:netty-codec-http3) في الإصدارات من 4.2.0.Final حتى 4.2.17.Final متطلبات RFC 9114 التي تنص على أن حقل الزوادي :authority وحقل عنوان المضيف الحرفي، عند وجودهما معاً، يجب أن يحملوا نفس القيمة. يمكن لعميل بعيد غير مُصادَق عليه إرسال إطار HEADERS واحد يحتوي على كلا الحقلين بقيمتين مختلفتين يتحكم فيها المهاجم؛ حيث يتم قبول الطلب وتسليمه إلى التطبيق بسلطتين متعارضتين، مما يتيح تجاوز قرارات التوجيه واستضافة النطاقات (virtual-host) والتحكم في الوصول عندما تستشير مكونات مختلفة في مسار الطلب حقولاً مختلفة. تم إصلاح هذه المشكلة في الإصدار 4.2.18.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.