CVE-2026-59903
Publiée le 2026-08-17 · Dernière modification le 2026-09-10
Les applications utilisant le framework réseau Netty (avant les versions 4.1.137.Final ou 4.2.17.Final) peuvent traiter incorrectement les en-têtes HTTP, ce qui peut amener des proxys de mise en cache ou des CDN à servir une réponse privée et authentifiée au mauvais utilisateur. Un attaquant distant non authentifié pourrait potentiellement voler des informations sensibles ou modifier du contenu mis en cache, bien que cela nécessite une configuration réseau spécifique et un haut degré de précision technique pour être exécuté. Aucune interaction de l'utilisateur n'est requise, mais l'attaque dépend entièrement de la configuration de vos couches de mise en cache externes.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Netty is an asynchronous, event-driven network application framework. Prior to 4.1.137.Final and 4.2.17.Final, io.netty.handler.codec.http.cors.CorsHandler setVaryHeader replaces application Vary headers such as Authorization or Cookie with Origin, allowing a caching proxy or CDN to reuse authenticated responses across users and disclose sensitive information. This issue is fixed in versions 4.1.137.Final and 4.2.17.Final.