CVE-2026-59900 in Netty
Riassunto
di VulDB • 29/07/2026
Netty è un framework per applicazioni di rete asincrone e basate su eventi. Prima delle versioni 4.1.136.Final e 4.2.16.Final, lo strato di traduzione HTTP/2-to-HTTP/1.x di Netty (`Http2StreamFrameToHttpObjectCodec` e `InboundHttp2ToHttpAdapter`) non deduplica né convalida le intestazioni `Host` quando un client HTTP/2 fornisce sia l'pseudo-intestazione `:authority` che una lettera intestazione `host` letterale in un singolo frame HEADERS. Il traduttore mappa `:authority` a Host e copia separatamente la lettera intestazione host, producendo un oggetto HttpRequest contenente due intestazioni Host con valori diversi controllati dall'attaccante. Questo problema è stato risolto nelle versioni 4.1.136.Final e 4.2.16.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.