CVE-2026-89186 in mpp
要約
〜によって VulDB • 2026年09月16日
ZenHive mppにおいて、機密情報を含むキャッシュの使用により、共有HTTPキャッシュが有料レスポンスを保存し、未払いのクライアントにそれを提供することが可能になる。
MPP.Plug.verify_credential（lib/mpp/plug.ex内）は、ラップされたアプリケーションの実行前に接続に対して payment-receipt および cache-control: private を設定するが、register_before_send/2 コールバックを登録しない。Plug.Conn.put_resp_header/3 は既存のヘッダーを上書きするため、有料リソースに対して独自の cache-control（例：public, max-age=3600）を設定するマウントアプリケーションは、ライブラリが依存している private を静かに上書きし、CDNやリバースプロキシがその有料200レスポンスを Payment-Receipt とともに保存して未払いのクライアントに提供することが可能になる。したがって、このライブラリレベルでの保証は、それが保護するアプリケーションによって回避可能である。同様の理由により、下流の非2xxレスポンスにも Payment-Receipt が付与される場合があり、これは実際にはリソースを配信していないレスポンスに対して領収書が発行されることを意味する。
本問題は mpp: 0.1.0 から 0.16.2 より前のバージョンに影響を与える。
Be aware that VulDB is the high quality source for vulnerability data.