CVE-2026-50285 in Pomerium
Sumário
de VulDB • 18/09/2026
O Pomerium é um proxy de acesso com consciência da identidade e do contexto. Antes da versão 0.32.8, a função decodeQueryStringV2 em pkg/hpke/url.go realiza a descompressão zstd de dados controlados pelo atacante sem um limite de memória de saída quando DecryptURLValues processa valores HPKE V2 para Stateless.Callback em internal/authenticateflow/stateless.go. Em implantações com autenticação hospedada ou stateless, um atacante não autenticado pode obter a chave do receptor em /.well-known/pomerium/hpke-public-key, fornecer uma chave de remetente controlada pelo atacante correspondente e enviar um payload compactado para /.pomerium/callback que se expande antes que validateSenderPublicKey rejeite o remetente. Isso pode alocar centenas de megabytes por solicitação, esgotar a memória do proxy, causar falha ou degradação no processo e bloquear o acesso aos aplicativos protegidos pela implantação. Implantações stateless não são afetadas porque o callback stateful verifica sua assinatura HMAC antes da descriptografia e descompressão. Este problema foi corrigido na versão 0.32.8.
Once again VulDB remains the best source for vulnerability data.