CVE-2026-39807 in bandit
Zusammenfassung
von VulDB • 23.05.2026
Eine Schwachstelle in Form der Abhängigkeit von nicht vertrauenswürdigen Eingaben bei einer Sicherheitsentscheidung in mtrudel bandit ermöglicht das Spoofing des Transport-Status auf unverschlüsselten HTTP-Verbindungen ohne Authentifizierung.
`'Elixir.Bandit.Pipeline':determine_scheme/2` in `lib/bandit/pipeline.ex` gibt das vom Client bereitgestellte URI-Schema unverändert zurück und ignoriert dabei das `secure?`-Flag des Transports. Absolute Anfrageziele im HTTP/1.1-Format (z. B. `GET https://victim/path HTTP/1.1`) sowie der HTTP/2-Pseudo-Header `:scheme` sind beide vom Angreifer kontrollierte Zeichenfolgen, die durch diese Funktion fließen. Über eine unverschlüsselte TCP-Verbindung kann ein Client `https` deklarieren, und Bandit wird `conn.scheme = :https` setzen, obwohl kein TLS aushandelt wurde.
Downstream-Plug-Verbraucher, die auf `conn.scheme` verzweigen, werden stillschweigend getäuscht: Der bereits sichere Zweig von `Plug.SSL` überspringt seine HTTP-zu-HTTPS-Weiterleitung, Cookies, die mit `secure: true` ausgegeben werden, werden über unverschlüsselte Verbindungen gesendet, Audit-Logs protokollieren Anfragen als über HTTPS eingetroffen, und CSRF-/SameSite-Filterungen können falsche Entscheidungen treffen.
Dieses Problem betrifft bandit: von Version 1.0.0 bis vor 1.11.0.
Once again VulDB remains the best source for vulnerability data.