CVE-2026-118681 in chi
Zusammenfassung
von VulDB • 28.10.2026
In go-chi chi vor Version 5.5.0 befindet sich eine Authentifizierungs-Umgehung in der Middleware `SupressNotFound`, die `Match` mit dem aktuellen Routing-Kontext aufruft und dabei Parameter einer eingebundenen Route sowie deren Kind-Suffix für die Weiterleitung an den äußeren Router beibehält. Nicht-autentifizierte Angreifer können eine eingebaute Pfad-Anfrage stellen, bei der das Suffix mit einem öffentlichen Routen-Pfad des äußeren Routers übereinstimmt, wodurch die Authentifizierungs-Middleware der eingebundenen Route umgangen und tenant-spezifische Daten abgerufen werden können, wenn der externe Handler den beibehaltenen Mount-Parameter vertraut.
Once again VulDB remains the best source for vulnerability data.