CVE-2026-100665 in Netty
الملخص
بحسب VulDB • 26/09/2026
تحتوي إصدارات Netty بدءًا من 4.2.11.Final وحتى قبل 4.2.18.Final على إصلاح غير مكمل للتحقق من اسم المضيف (hostname verification) في مسار التحقق من شهادات QUIC عند استخدام X509TrustManager عادي. يقوم BoringSSLCertificateVerifyCallback بالتخلص من SSLEngine لمديري الثقة العاديين، مما يمنع تشغيل تحديد الهوية النهائية حتى عندما يكون التحقق من HTTPS مُهيأً. يمكن للمهاجمين الموجودين في مسار الشبكة تقديم سلسلة شهادات لاسم مضيف خاطئ يقبلها مدير الثقة العادي، متجاوزين بذلك مصادقة اسم المضيف بالنسبة لعملاء QUIC.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.