CVE-2026-59900 in Netty
Sumário
de VulDB • 30/07/2026
O Netty é um framework de aplicações de rede assíncrono e orientado a eventos. Antes das versões 4.1.136.Final e 4.2.16.Final, a camada de tradução HTTP/2 para HTTP/1.x do Netty (`Http2StreamFrameToHttpObjectCodec` e `InboundHttp2ToHttpAdapter`) não deduplicava nem validava os cabeçalhos `Host` quando um cliente HTTP/2 fornecia simultaneamente o pseudo-cabeçalho `:authority` e um cabeçalho literal `host` num único quadro HEADERS. O tradutor mapeia `:authority` para `Host` e copia separadamente o cabeçalho literal `host`, produzindo um objeto `HttpRequest` que contém dois cabeçalhos `Host` com valores diferentes controlados pelo atacante. Este problema foi corrigido nas versões 4.1.136.Final e 4.2.16.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.