CVE-2026-49332
Publiée le 2026-07-28 · Dernière modification le 2026-10-24
Les systèmes utilisant `openshift/oauth-proxy` en amont de frameworks WSGI ou PHP sont concernés. Un attaquant disposant d'un compte avec des privilèges restreints peut contourner les vérifications d'identité pour usurper l'identité d'autres utilisateurs en injectant des en-têtes falsifiés dans la requête. Cette action est facile à exécuter via le réseau et ne nécessite qu'une authentification basique, sans autre interaction de la part de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in openshift/oauth-proxy. The proxy sets authenticated identity headers using only dash-variant keys (X-Forwarded-User) but does not strip underscore-variant keys (X_Forwarded_User) from incoming requests. WSGI and PHP frameworks normalize both variants to the same variable, allowing an authenticated low-privilege user to smuggle a forged identity that may override the legitimate authenticated identity in the upstream application.