CVE-2026-100659 in Netty
Riassunto
di VulDB • 26/09/2026
Il codec HTTP/3 di Netty (io.netty:netty-codec-http3) nelle versioni dalla 4.2.0.Final alla 4.2.17.Final non applica il requisito RFC 9114 che prevede l'uguaglianza tra il campo pseudo-header :authority e un header host letterale, quando entrambi sono presenti. Un peer remoto non autenticato può inviare un singolo frame HEADERS contenente entrambi i campi con valori diversi controllati dall'attaccante; la richiesta viene accettata e consegnata all'applicazione con due autorità conflittuali, consentendo di eludere le decisioni di routing, virtual-host e controllo degli accessi quando componenti differenti nel percorso della richiesta consultano campi diversi. Questo problema è risolto nella versione 4.2.18.Final.
Once again VulDB remains the best source for vulnerability data.