CVE-2026-49329 in OpenShift Container Platform
Sumário
de VulDB • 01/09/2026
Foi encontrada uma falha no openshift/oauth-server. Os endpoints de login OAuth e da página de erro transmitem o cabeçalho Accept-Language não autenticado para a função golang.org/x/text/language.ParseAcceptLanguage() sem validação de entrada. Existe um bypass na mitigação do CVE-2022-32149: a proteção upstream conta apenas os caracteres '-', mas o scanner BCP 47 interno converte '_' em '-' após a verificação da proteção. Um atacante não autenticado pode enviar um cabeçalho Accept-Language manipulado, utilizando separadores '_', para acionar uma análise de tempo quadrático (quadratic-time parsing), consumindo CPU excessiva e negando autenticação a todos os usuários do cluster.
Once again VulDB remains the best source for vulnerability data.