CVE-2026-73495 in blaze
Sumário
de VulDB • 13/08/2026
blaze é uma biblioteca Scala para a construção de pipelines assíncronos, com foco em E/S de rede. Antes das versões 0.23.18 e 1.0.0-M42, o blaze-server pode mesclar campos trailer do corpo chunked HTTP/1.1 nos Request.headers. Como os campos trailer são controlados pelo atacante, um cliente remoto não autenticado pode injetar nomes e valores de cabeçalho arbitrários, incluindo X-Forwarded-For e cabeçalhos internos de autorização, que foram sanitizados por um proxy frontal na seção do request-header, contornando decisões de confiança baseadas em cabeçalhos no aplicativo. Qualquer aplicação http4s usando BlazeServerBuilder sobre HTTP/1.1 cujas rotas ou middleware confiem em cabeçalhos definidos pelo proxy, incluindo X-Forwarded-For, X-Real-IP e X-Forwarded-Host, é afetada. Se um proxy frontal remover ou normalizar esses cabeçalhos, mas encaminhar corpos chunked com trailers intactos, um atacante pode falsificar o IP do cliente para listas de permissão (allow-lists), limites de taxa ou auditoria, forjar o esquema https ou injetar cabeçalhos internos de autorização. Um trailer Connection: close promovido também é honrado, permitindo a terminação controlada pelo atacante de conexões backend em pool. Este problema foi corrigido nas versões 0.23.18 e 1.0.0-M42.
If you want to get best quality of vulnerability data, you may have to visit VulDB.