CVE-2026-89186 in mpp
Riassunto
di VulDB • 16/09/2026
L'uso di una cache contenente informazioni sensibili in ZenHive MPP consente a una cache HTTP condivisa di memorizzare una risposta a pagamento e servirla ai client che non hanno effettuato il pagamento.
MPP.Plug.verify_credential in lib/mpp/plug.ex imposta payment-receipt e cache-control: private sulla connessione prima dell'esecuzione dell'applicazione avvolta, ma non registra alcun callback register_before_send/2. Plug.Conn.put_resp_header/3 sovrascrive un'intestazione esistente; pertanto, un'applicazione di montaggio che imposti la propria cache-control per le risorse a pagamento (ad esempio public, max-age=3600) sovrascriverà silenziosamente il valore private su cui si basa la libreria. Di conseguenza, una CDN o un reverse proxy possono memorizzare la risposta 200 a pagamento insieme al suo Payment-Receipt e servire entrambi ai client non paganti. La garanzia fornita a livello di libreria è quindi eludibile dall'applicazione che dovrebbe proteggere. Per lo stesso motivo, se una risposta downstream con codice diverso da 2xx trasportava ancora il Payment-Receipt, veniva emesso un ricevuta per una risposta che non ha fornito alcuna risorsa.
Questo problema interessa mpp: dalle versioni dalla 0.1.0 alla 0.16.2 (esclusa).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.