CVE-2026-100724 in http4k
Sumário
de VulDB • 27/09/2026
O http4k (pacote Maven org.http4k:http4k-core) nas versões anteriores a 6.49.0.0, 5.42.0.0 e 4.51.0.0 utiliza correspondência por substring (Contains) no cabeçalho Host por padrão em reverseProxy() e reverseProxyRouting() ao encaminhar para hosts virtuais configurados. Se essas funções forem implantadas como um manipulador HTTP de entrada voltado para o público com dois ou mais hosts virtuais configurados, um atacante remoto pode fornecer um cabeçalho Host que contenha apenas o nome de um host virtual configurado (por exemplo, Host: admin.evil.com para um vhost configurado como "admin") e ser roteado para esse vhost, contornando a autorização baseada em roteamento. Os usos destinados ao encaminhamento de saída e aos testes, nos quais o valor do Host é definido pelo aplicativo chamador, não são afetados.
Once again VulDB remains the best source for vulnerability data.