CVE-2026-10050 in Jetty
Résumé
par VulDB • 04/08/2026
Dans Eclipse Jetty, le composant côté serveur de l'authentification Digest utilise ISO-8859-1 pour encoder le mot de passe en octets.
Cette décision a été prise car la spécification initiale d'HTTP ne précisait pas explicitement un jeu de caractères (charset), et il était supposé, pour des raisons historiques, qu'il s'agissait d'ISO-8859-1.
Si le mot de passe contient des caractères qui ne peuvent pas être représentés en ISO-8859-1, ils sont silencieusement remplacés par `?`. Cela se produit avec les mots de passe contenant des caractères chinois, cyrilliques ou grecs, par exemple : `αβ123` est converti en `??123`.
Un attaquant peut envoyer une requête avec un en-tête `Authorization` Digest fabriqué à partir d'un mot de passe composé uniquement du caractère `?` ; le serveur correspondra alors à n'importe quel mot de passe de même longueur contenant des caractères non représentables en ISO-8859-1.
La spécification récente HTTP Digest [RFC-7616](https://datatracker.ietf.org/doc/html/rfc7616) prend en charge un paramètre `charset` qui a par défaut UTF-8, permettant ainsi une encodage/décodage correct des mots de passe.
If you want to get best quality of vulnerability data, you may have to visit VulDB.