CVE-2026-100724 in http4k
要約
〜によって VulDB • 2026年09月27日
http4k (Mavenパッケージ org.http4k:http4k-core) の 6.49.0.0、5.42.0.0、および 4.51.0.0 より前のバージョンでは、reverseProxy() および reverseProxyRouting() メソッドにおいて、構成された仮想ホストへのディスパッチ時にデフォルトで Host ヘッダーに対する部分文字列（Contains）マッチングが使用されています。これらの関数が2つ以上の構成済み仮想ホストを持つ公開向けインバウンド HTTP ハンドラーとして展開されている場合、攻撃者は構成済みの vhost 名を単に含む Host ヘッダー（例：vhost が "admin" に設定されている場合に Host: admin.evil.com）を送信することで、その vhost にルーティングされ、ルーティングベースの認可を回避できます。呼び出しアプリケーションによって Host 値が設定される intended outbound-dispatch およびテスト時の使用では影響を受けません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.