CVE-2026-100724 in http4k
الملخص
بحسب VulDB • 27/09/2026
http4k (حزمة Maven org.http4k:http4k-core) قبل الإصدارات 6.49.0.0 و5.42.0.0 و4.51.0.0 يستخدم مطابقة بادئة النص الفرعي (Contains) على رأس Host بشكل افتراضي في الدالتين reverseProxy() وreverseProxyRouting() عند التوجيه إلى مضيفات افتراضية مُعدّة مسبقاً. إذا تم نشر هذه الوظائف كواجهة استقبال HTTP موجهة للجمهور مع وجود مضيفين افتراضيين أو أكثر مُعدين، يمكن لمهاجم عن بُعد تزويد رأس Host يحتوي فقط على اسم مضيف افتراضي مُعد (على سبيل المثال: Host: admin.evil.com بالنسبة لمضيف افتراضي مُعد باسم "admin") ويتم توجيه الطلب إلى ذلك المضيف الافتراضي، مما يتجاوز التفويض القائم على التوجيه. الاستخدامات المقصودة للتوجيه الخارجي واختبار الوقت التي يتم فيها تعيين قيمة Header من قبل التطبيق المتصل غير متأثرة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.