CVE-2025-13647
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Certaines versions du logiciel concerné ne valident pas correctement l'en-tête `content-type` lors du traitement des requêtes. Cela permet à un utilisateur d'envoyer une requête spécialement conçue pour tromper le système et l'inciter à ignorer les contraintes standards. Cette faille existe car le logiciel fait confiance aux informations de l'en-tête sans vérification suffisante.
Un attaquant peut utiliser cela pour découvrir les chemins d'accès internes aux fichiers où sont stockés les certificats de sécurité sur le serveur. Cette fuite compromet la confidentialité en fournissant une feuille de route pour des attaques plus complexes, bien qu'elle ne permette pas la modification directe de données ni le plantage du système. L'exploitation est facile à exécuter via un réseau et ne nécessite ni authentification ni interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The affected component fails to enforce expected validation constraints on the `content-type` header when processing certain requests. This allows an attacker to submit a crafted request with a manipulated `content-type` header. Successful exploitation can lead to the unintended exposure of the file paths for certificate files. This information disclosure could potentially be leveraged in subsequent attacks or compromise the confidentiality of the system.