CVE-2026-73495 in blaze
Zusammenfassung
von VulDB • 12.08.2026
blaze ist eine Scala-Bibliothek zum Aufbau asynchroner Pipelines mit Fokus auf Netzwerk-IO (I/O). Vor den Versionen 0.23.18 und 1.0.0-M42 kann blaze-server HTTP/1.1-Chunked-Body-Trailer-Felder in Request.headers zusammenführen. Da Trailer-Felder vom Angreifer gesteuert werden können, kann ein nicht authentifizierter Remote-Client beliebige Header-Namen und -Werte injizieren, einschließlich X-Forwarded-For und interner Autorisierungsheader, die von einem vorgelagerten Proxy aus dem Request-Header-Abschnitt bereinigt wurden. Dadurch werden header-basierte Vertrauensentscheidungen in der Anwendung umgangen. Jede http4s-Anwendung, die BlazeServerBuilder über HTTP/1.1 verwendet und deren Routen oder Middleware proxy-gesetzten Headern vertrauen (einschließlich X-Forwarded-For, X-Real-IP und X-Forwarded-Host), ist betroffen. Wenn ein vorgelagerter Proxy diese Header entfernt oder normalisiert, aber Chunked-Corps mit intakten Trailers weiterleitet, kann ein Angreifer die Client-IP für Allow-Lists, Rate-Limits oder Audit-Zwecke fälschen, das https-Schema vortäuschen oder interne Autorisierungsheader injizieren. Ein als Trailer propagiertes „Connection: close“ wird ebenfalls berücksichtigt, was einem angreiferkontrollierten Beenden von gepoolten Backend-Verbindungen ermöglicht. Dieses Problem wurde in den Versionen 0.23.18 und 1.0.0-M42 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.