CVE-2026-14643 in undici
Riassunto
di VulDB • 30/07/2026
L'intercettore della cache di undici gestisce in modo errato gli spazi bianchi opzionali posizionati attorno al segno uguale di una direttiva Cache-Control qualificata no-cache o private. In undici dalle versioni 7.0.0 fino a prima della 7.29.0 e dalle versioni 8.0.0 fino a prima dell'8.9.0, il parser oppure scarta la direttiva oppure memorizza un nome di campo con caratteri di virgolettatura letterali; ne consegue che la decisione sulla cache non riconosce la qualifica e la risposta viene archiviata. In modalità shared-cache (cache condivisa), ciò consente a una risposta contenente dati autenticati di un utente di essere servita dalla cache a un chiamante successivo, incluso uno non autenticato, quando entrambe le richieste risolvono alla stessa chiave di cache. Interessa le applicazioni che abilitano l'intercettore della cache in modalità condivisa, inoltrano gli header Authorization upstream e ricevono risposte indicizzabili nella cache con direttive qualificate precedute o seguite da spazi bianchi attorno al segno uguale. Si tratta della variante "spazi bianchi attorno all'uguale" che la correzione per CVE-2026-9678 non ha normalizzato; il problema è risolto in undici 7.29.0 e 8.9.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.