CVE-2026-100724 in http4k
सारांश
द्वारा VulDB • 27/09/2026
http4k (Maven package org.http4k:http4k-core) 6.49.0.0 से पहले, 5.42.0.0 और 4.51.0.0 reverseProxy() और reverseProxyRouting() में configured virtual hosts को dispatch करते समय Host header पर substring (Contains) matching का उपयोग डिफ़ॉल्ट रूप से करता है। यदि ये फंक्शन्स दो या अधिक configured virtual hosts के साथ एक public-facing inbound HTTP handler के रूप में deploy किए जाते हैं, तो एक remote attacker एक ऐसा Host header प्रदान कर सकता है जो बस एक configured vhost नाम को contain करता हो (उदाहरण: admin.evil.com for a vhost configured as "admin") और उस vhost पर routed हो जाता है, जिससे routing-based authorization bypass हो जाती है। intended outbound-dispatch और test-time uses, जहाँ Host value calling application द्वारा set की जाती है, प्रभावित नहीं होते हैं।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.