CVE-2026-100724
http4k before 6.49.0.0 Host Header Routing Bypass via reverseProxy
Что произошло
http4k (Maven package org.http4k:http4k-core) before 6.49.0.0, 5.42.0.0 and 4.51.0.0 uses substring (Contains) matching on the Host header by default in reverseProxy() and reverseProxyRouting() when dispatching to configured virtual hosts. If these functions are deployed as a public-facing inbound HTTP handler with two or more configured virtual hosts, a remote attacker can supply a Host header that merely contains a configured vhost name (for example Host: admin.evil.com for a vhost configured as "admin") and be routed to that vhost, bypassing routing-based authorization. The intended outbound-dispatch and test-time uses, where the Host value is set by the calling application, are not affected.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
http4k / http4k
{
"status": "affected",
"version": "6.0.0.0",
"lessThan": "6.49.0.0",
"versionType": "custom"
}{
"status": "unaffected",
"version": "6.49.0.0",
"versionType": "custom"
}http4k / http4k
{
"status": "affected",
"version": "5.0.0.0",
"lessThan": "5.42.0.0",
"versionType": "custom"
}{
"status": "unaffected",
"version": "5.42.0.0",
"versionType": "custom"
}http4k / http4k
{
"status": "affected",
"version": "0",
"lessThan": "4.51.0.0",
"versionType": "custom"
}{
"status": "unaffected",
"version": "4.51.0.0",
"versionType": "custom"
}CVSS: оценки и векторы
CVSS 4.0 · cve6.3
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N
CVSS 3.1 · cve5.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
CVSS 4.0 · disclosure@vulncheck.com6.3
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CVSS 3.1 · disclosure@vulncheck.com5.4
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve",
"nvd"
],
"epss": {
"source": "epss",
"received_at": "2026-11-04T21:13:32.008511+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-29T21:25:47.881911+00:00"
},
"scores": [
"cve",
"nvd"
],
"status": {
"source": "cve",
"received_at": "2026-10-29T21:25:47.881911+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-29T21:25:47.881911+00:00"
},
"solutions": [],
"percentile": {
"source": "epss",
"received_at": "2026-11-04T21:13:32.008511+00:00"
},
"references": [
"cve",
"nvd"
],
"description": {
"source": "cve",
"received_at": "2026-10-29T21:25:47.881911+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены05.11.2026, 00:13
- Данные обновлены04.11.2026, 00:11
- Данные обновлены03.11.2026, 00:10
- Данные обновлены02.11.2026, 00:09
- Данные обновлены31.10.2026, 11:56
- Данные обновлены30.10.2026, 15:55
- Данные обновлены30.10.2026, 00:37
- Данные обновлены29.10.2026, 23:42
- Данные обновлены29.10.2026, 11:08
- Появились сведения об исправлении28.10.2026, 20:57
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-120316 http4k before 6.62.0.0-ee Path Traversal via ThymeleafTemplates Template Resolution http4k / http4k | Высокий | 8.2 | 0,31 % | 02.11.2026 | ||
| CVE-2026-120317 http4k 4.9.10.0 before 6.60.0.0 Digest auth-int Missing Body Integrity http4k / http4k | Критический | 8.2 | 0,12 % | PoC | 02.11.2026 | |
| CVE-2026-100834 http4k before 6.48.0.0 Digest Authentication Replay Protection Bypass http4k / http4k | Высокий | 8.2 | 0,32 % | Патч | 27.09.2026 | |
| CVE-2026-100725 http4k before 6.48.0.0 Cookie Scoping Bypass via BasicCookieStorage http4k / http4k | Высокий | 8.3 | 0,24 % | Патч | 27.09.2026 | |
| CVE-2026-54148 http4k: `DigestAuthProvider.verify` did not bind to request URI http4k / http4k | Высокий | 8.1 | 0,58 % | 18.09.2026 |