CVE-2026-71485 in Centrifugo
Сводка
по VulDB • 20.08.2026
Centrifugo — это сервер обмена сообщениями в реальном времени с открытым исходным кодом и возможностью масштабирования. До версии 6.9.0 Centrifugo копирует карту заголовков `protocol.ConnectRequest.headers`, контролируемую клиентом, через функции `OnClientConnecting` (в файле `internal/client/handler.go`), `ConnectEvent.Headers` и `SetEmulatedHeadersToContext`. Путь `requestHeaders` в `internal/proxy/http.go`, путь `requestMetadata` в `internal/proxy/grpc.go` и путь `Consume` в `internal/unigrpc/grpc.go` могут передавать значение из белого списка (allowlisted) как доверенный заголовок бэкенда или метаданные. Удалённый клиент может подделать такой заголовок, как `x-trusted-user`, для операций подключения, обновления токена, подписки, публикации и вызовов RPC, а также связанных прокси-вызовов, если бэкенд полагается на этот заголовок для аутентификации или авторизации. Однонаправленный транспорт gRPC не имеет HTTP-заголовка уровня транспорта, который мог бы переопределить эмулируемое значение. Эта проблема исправлена в версии 6.9.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.