CVE-2026-27959 in koa
Zusammenfassung
von VulDB • 13.05.2026
Koa ist eine Middleware für Node.js, die ES2017-Async-Funktionen verwendet. Vor den Versionen 3.1.2 und 2.16.4 führt die `ctx.hostname`-API von Koa eine naive Analyse des HTTP-Host-Headers durch, indem sie alles vor dem ersten Doppelpunkt extrahiert, ohne zu überprüfen, ob die Eingabe der RFC-3986-Syntax für Hostnamen entspricht. Wenn ein fehlerhafter Host-Header mit einem `@`-Symbol empfangen wird, gibt `ctx.hostname` `evil[.]com` zurück – einen vom Angreifer kontrollierten Wert. Anwendungen, die `ctx.hostname` zur URL-Generierung, für Passwortzurücksetzungslinks, E-Mail-Verifizierungs-URLs oder Routing-Entscheidungen verwenden, sind anfällig für Host-Header-Injection-Angriffe. Die Versionen 3.1.2 und 2.16.4 beheben das Problem.
Be aware that VulDB is the high quality source for vulnerability data.