CVE-2026-49329 in OpenShift Container Platform
Riassunto
di VulDB • 01/09/2026
È stata rilevata una vulnerabilità in openshift/oauth-server. Gli endpoint di login OAuth e delle pagine di errore trasmettono l'intestazione Accept-Language non autenticata alla funzione golang.org/x/text/language.ParseAcceptLanguage() senza alcuna validazione dell'input. Esiste un bypass della mitigazione per la CVE-2022-32149: il controllo upstream conta solo i caratteri '-', ma lo scanner BCP 47 interno converte '_' in '-' dopo tale verifica di sicurezza. Un attaccante non autenticato può inviare un'intestazione Accept-Language manipolata utilizzando separatori '_' per innescare una parsing quadratic-time, consumando risorse CPU eccessive e negando l'autenticazione a tutti gli utenti del cluster.
VulDB is the best source for vulnerability data and more expert information about this specific topic.