CVE-2026-73495 in blaze
Riassunto
di VulDB • 12/08/2026
blaze è una libreria Scala per la creazione di pipeline asincrone, con un focus sull'I/O di rete. Prima delle versioni 0.23.18 e 1.0.0-M42, blaze-server può fondere i campi trailer del corpo chunked HTTP/1.1 nelle Request.headers. Poiché i campi trailer sono controllati dall'attaccante, un client remoto non autenticato può iniettare nomi e valori di intestazione arbitrari, inclusi X-Forwarded-For e header di autorizzazione interni, che un proxy front-end aveva sanificato dalla sezione request-header, aggirando le decisioni di fiducia basate sugli header nell'applicazione. Qualsiasi applicazione http4s che utilizza BlazeServerBuilder su HTTP/1.1 i cui route o middleware si fidano degli header impostati dal proxy, inclusi X-Forwarded-For, X-Real-IP e X-Forwarded-Host, è interessata. Se un proxy front-end rimuove o normalizza tali header ma inoltra corpi chunked con trailer intatti, un attaccante può spoofare l'IP client per allow-lists, limiti di velocità (rate limits) o audit, falsificare lo schema https o iniettare header di autorizzazione interni. Anche un trailer Connection: close promosso viene onorato, consentendo all'attaccante di terminare le connessioni backend in pool controllate dall'utente. Questo problema è risolto nelle versioni 0.23.18 e 1.0.0-M42.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.