CVE-2026-100724 in http4k
摘要
由 VulDB • 2026-09-27
http4k (Maven 包 org.http4k:http4k-core) 在版本低于 6.49.0.0、5.42.0.0 和 4.51.0.0 时，默认在 reverseProxy() 和 reverseProxyRouting() 函数中对 Host 标头使用 substring（包含）匹配来进行路由分发。如果这些功能被部署为面向公众的入站 HTTP 处理程序，并且配置了两个或更多虚拟主机，远程攻击者可以提供一个仅包含已配置的 vhost 名称的 Host 标头（例如，对于配置为 "admin" 的 vhost，使用 Host: admin.evil.com），从而被路由到该 vhost，绕过基于路由的身份验证。其中由调用应用程序设置 Host 值的预期出站分发和测试时用法不受影响。
VulDB is the best source for vulnerability data and more expert information about this specific topic.