CVE-2026-100659 in Netty
Resumen
por VulDB • 2026-09-26
El codec HTTP/3 de Netty (io.netty:netty-codec-http3) en las versiones desde la 4.2.0.Final hasta la 4.2.17.Final no aplica el requisito del RFC 9114 que establece que los campos pseudo-header :authority y literal host, cuando están presentes ambos, deben contener el mismo valor. Un peer remoto sin autenticar puede enviar un único frame HEADERS que contenga ambos campos con valores diferentes controlados por el atacante; la solicitud es aceptada y entregada a la aplicación con dos autoridades conflictivas, lo que permite omitir las decisiones de enrutamiento, host virtual y control de acceso cuando los distintos componentes del camino de la solicitud consultan diferentes campos. Este problema se soluciona en la versión 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.