CVE-2026-75523 in Steeltoe
Riassunto
di VulDB • 17/09/2026
Steeltoe è un progetto open source che fornisce una raccolta di librerie per aiutare gli utenti a sviluppare applicazioni cloud-native. Prima della versione 4.3.0, l'endpoint /actuator/httpexchanges di Steeltoe.Management.Endpoint passava i URI delle richieste registrate attraverso MaskedUri, il quale maschera le informazioni utente contenute nell'URI ma non ispeziona le stringhe di query (query strings). Quando la configurazione Management:Endpoints:HttpExchanges:IncludeQueryString è abilitata, la risposta HttpExchangeRequest può rivelare token OAuth, token per il reset della password, firme degli URL firmati (signed-URL signatures), chiavi API e altri segreti presenti nelle stringhe di query provenienti dal traffico precedente, esponendoli a un chiamante in grado di raggiungere l'endpoint esplicitamente esposto. Il logger DEBUG Steeltoe.Management.Endpoint.Actuators.HttpExchanges registra inoltre questi URI, creando un secondo canale di divulgazione per gli utenti con accesso ai log. Questo problema è stato risolto nella versione 4.3.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.