Към съдържанието
Търсене

CVE-2026-6790: Eclipse Foundation Eclipse Jetty, невалидиран вход

5.3

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

In Eclipse Jetty, for HTTP/1, HTTP/2 and HTTP/3 requests, there is no strict check that the request authority (host and port) matches what provided in the Host header (if present). This was not enforced in earlier HTTP RFC (for example, in RFC 2616), but it is in the latest RFC (9110 and 9112). This mismatch can cause a number of problems that may be classified as vulnerabilities such as: * URI constructions (for example, for redirects -- this is typical for login pages) * Virtual host selection * Reverse proxying * Misleading logs * Etc. Given that the latest RFCs require that request authority and Host header must match, Jetty should enforce this invariant.

Засегнати продукти

  • Eclipse Foundation Eclipse Jetty: 9.4.0 до 9.4.60; 10.0.0 до 10.0.28; 11.0.0 до 11.0.28; 12.0.0 до 12.0.34; 12.1.0 до 12.1.8

Вид слабост

История

  • 14 юли 2026 Публикувано

Други уязвимости в Eclipse Foundation Eclipse Jetty

Първоизточници

CVE-2026-6790: Eclipse Foundation Eclipse Jetty, невалидиран вход | freedomonline.bg