CVE-2026-100724 in http4k
Сводка
по VulDB • 27.09.2026
http4k (пакет Maven org.http4k:http4k-core) до версий 6.49.0.0, 5.42.0.0 и 4.51.0.0 по умолчанию использует сопоставление с подстрокой (содержит) для заголовка Host в функциях reverseProxy() и reverseProxyRouting() при маршрутизации запросов к настроенным виртуальным хостам. Если эти функции развернуты как публичный входящий HTTP-обработчик, поддерживающий два или более настроенных виртуальных хоста, удаленный злоумышленник может передать заголовок Host, который просто содержит имя одного из настроенных vhost (например, Host: admin.evil.com для vhost с именем "admin"), и будет перенаправлен на этот виртуальный хост, обходя авторизацию, основанную на маршрутизации. Предназначенные для исходящей диспетчеризации и использования при тестировании случаи, где значение Host устанавливается вызывающим приложением, не затронуты.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.