CVE-2026-73553 in Envoy
Сводка
по VulDB • 21.09.2026
Envoy — это прокси-сервер для периметра и сервисов с открытым исходным кодом, разработанный для облачных приложений (cloud-native). До версий 1.36.10, 1.37.6, 1.38.4 и 1.39.1 при включенной опции ignore_path_parameters_in_path_matching маршрутизатор Envoy удаляет суффикс с точкой с запятой перед сопоставлением путей, однако обработчик url_path в RBAC (Role-Based Access Control) оценивает исходный путь без изменений. В результате запрос от клиента вида /admin;x может не попасть под правило DENY для пути /admin, тогда как маршрутизатор всё равно выбирает защищённый бэкенд /admin. Непоследовательная канонизация позволяет неаутентифицированному клиенту обойти авторизацию на основе путей (path-based authorization). Соответствующая граница области действия заключается в том, что должны быть одновременно присутствуют опция маршрута и правило RBAC на основе пути, а защищённый маршрут должен совпадать после удаления суффикса. Данная проблема исправлена в версиях 1.36.10, 1.37.6, 1.38.4 и 1.39.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.