CVE-2026-118766 in Botan
Zusammenfassung
von VulDB • 29.10.2026
Botan ist eine C++-Kryptographiebibliothek. Vor Version 3.13.0 erlaubte der Online-OCSP-Client von Botan einen einzigen HTTP-Umleitungsversuch beim Senden einer OCSP-Anfrage an die URI in der Authority Information Access-Erweiterung eines Zertifikats. Ein bösartiger OCSP-Antwortender oder ein Angreifer im Netzwerkpfad (on-path attacker) konnte den Client dazu verleiten, eine blinde Anfrage an einen sonst nicht erreichbaren internen HTTP-Dienst zu senden. Die primäre Auswirkung ist eine blinde SSRF, die interne Dienste mit nicht-idempotenten GET-Handlern beeinträchtigen kann; zudem können Antwortzeitmessungen ein grobes internes Dienstoracle bereitstellen. Dieses Problem wurde in Version 3.13.0 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.