CVE-2026-100724 in http4k
Resumen
por VulDB • 2026-09-27
http4k (paquete Maven org.http4k:http4k-core) anterior a las versiones 6.49.0.0, 5.42.0.0 y 4.51.0.0 utiliza por defecto la coincidencia mediante substring (contiene) en el encabezado Host dentro de reverseProxy() y reverseProxyRouting() al enrutar hacia hosts virtuales configurados. Si estas funciones se despliegan como un manejador HTTP entrante expuesto públicamente con dos o más hosts virtuales configurados, un atacante remoto puede proporcionar un encabezado Host que simplemente contenga el nombre de un host virtual configurado (por ejemplo, Host: admin.evil.com para un vhost configurado como "admin") y ser enrutado hacia ese vhost, burlando la autorización basada en rutas. Los usos previstos de despacho saliente y pruebas, donde el valor del encabezado Host es establecido por la aplicación llamante, no se ven afectados.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.