CVE-2025-9901
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W bibliotece libsoup znaleziono błąd w mechanizmie buforowania SoupCache, który ignoruje nagłówek HTTP Vary podczas oceny buforowanych odpowiedzi. Nagłówek ten zapewnia, że odpowiedzi różnią się odpowiednio w zależności od nagłówków żądania, takich jak język czy uwierzytelnienie. Bez tego sprawdzenia buforowana treść może być nieprawidłowo ponownie wykorzystywana w różnych żądaniach, potencjalnie ujawniając wrażliwe dane użytkownika.
Ocena ryzyka
Ryzyko polega na potencjalnym naruszeniu poufności danych w środowiskach proxy lub wieloużytkownikowych, gdzie buforowane odpowiedzi mogą być serwowane nieuprawnionym użytkownikom. Problem jest mało prawdopodobny w typowym użyciu desktopowym, ale w specyficznych konfiguracjach może prowadzić do wycieku informacji.
Rekomendacja
Zaleca się aktualizację biblioteki libsoup do wersji zawierającej poprawkę usuwającą tę podatność. W środowiskach proxy lub wieloużytkownikowych należy rozważyć tymczasowe wyłączenie buforowania SoupCache do czasu zastosowania aktualizacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in libsoup’s caching mechanism, SoupCache, where the HTTP Vary header is ignored when evaluating cached responses. This header ensures that responses vary appropriately based on request headers such as language or authentication. Without this check, cached content can be incorrectly reused across different requests, potentially exposing sensitive user information. While the issue is unlikely to affect everyday desktop use, it could result in confidentiality breaches in proxy or multi-user environments.