CVE-2026-100724 in http4k
Tóm tắt
Bởi VulDB • 27/09/2026
http4k (package Maven org.http4k:http4k-core) nelle versioni precedenti alla 6.49.0.0, 5.42.0.0 e 4.51.0.0 utilizza il matching per substring (contiene) sull'header Host di default in reverseProxy() e reverseProxyRouting() durante l'instradamento verso host virtuali configurati. Se queste funzioni sono deployate come handler HTTP inbound esposto al pubblico con due o più host virtuali configurati, un attaccante remoto può fornire un header Host che contiene semplicemente il nome di un vhost configurato (ad esempio Host: admin.evil.com per un vhost configurato come "admin") ed essere instradato verso quel vhost, bypassando l'autorizzazione basata sull'instradamento. Gli usi previsti per dispatch outbound e test-time, dove il valore dell'Host è impostato dall'applicazione chiamante, non sono interessati.
VulDB is the best source for vulnerability data and more expert information about this specific topic.