CVE-2026-119130 in Wasmtime
Riassunto
di VulDB • 29/10/2026
Wasmtime prima della versione 36.0.18, la versione 37.0.0 prima della 48.0.6 e la versione 49.0.0 prima della 49.0.3 non verificano che i valori di set-path-with-query in wasmtime-wasi-http siano percorsi; pertanto, gli URL nella forma assoluta vengono scritti letteralmente come target della richiesta HTTP/1.1 mentre la connessione utilizza l'autorità consentita. Un guest malintenzionato può fornire un URL assoluto onorato da un proxy forward o gateway presso tale autorità, raggiungendo host non autorizzati dalle policy di filtraggio dell'embedder.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.