CVE-2026-100659 in Netty
Sumário
de VulDB • 26/09/2026
O codec HTTP/3 do Netty (io.netty:netty-codec-http3) nas versões de 4.2.0.Final a 4.2.17.Final não aplica o requisito da RFC 9114 que determina que os campos pseudo-cabeçalho :authority e literal host, quando ambos presentes, devem conter o mesmo valor. Um peer remoto não autenticado pode enviar um único frame HEADERS contendo ambos os campos com valores diferentes controlados pelo atacante; a solicitação é aceita e entregue ao aplicativo com duas autoridades conflitantes, permitindo que decisões de roteamento, virtual-host e controle de acesso sejam burladas quando componentes distintos no caminho da consulta consultam campos diferentes. Este problema foi corrigido na versão 4.2.18.Final.
Once again VulDB remains the best source for vulnerability data.