CVE-2026-90455
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wcześniejsza aktualizacja, która podniosła wbudowaną bibliotekę klienta HTTP do wersji usuwającej znane podatności, została później wycofana, przywracając starszą, podatną wersję do komponentu przetwarzającego logi. Jedyna ścieżka kodu w tym komponencie korzystająca z biblioteki wysyła żądanie do jednego stałego, zaufanego adresu URL dostawcy przy inicjalizacji i nie przetwarza danych kontrolowanych przez atakującego.
Ocena ryzyka
Praktyczna eksploatacja przywróconej podatnej wersji jest ograniczona, ponieważ biblioteka nie przetwarza danych wejściowych od atakującego. Mimo to obecność znanej podatnej biblioteki stanowi ryzyko w przypadku zmiany sposobu jej użycia w przyszłości.
Rekomendacja
Ponownie zastosuj aktualizację biblioteki klienta HTTP do wersji pozbawionej znanych podatności. Zweryfikuj, czy żadna inna ścieżka kodu nie korzysta z tej biblioteki w sposób podatny na atak.
Inne podatności w HTTP client library
Zobacz wszystkie- CVE-2025-4673Średnie
Podatność w mechanizmie przekierowań między domenami powoduje, że nagłówki Proxy-Authorization i Proxy-Authenticate są zachowywane, co może prowadzić do wycieku wrażliwych danych uwierzytelniających.
- CVE-2026-103995Niskie
Występuje problem z przetwarzaniem treści odpowiedzi i fragmentów (chunk), gdzie nieprawidłowe obsłużenie liczb niebędących szesnastkowymi lub ujemnych może prowadzić do błędnej interpretacji zawartości odpowiedzi HTTP. Może to skutkować nieprawidłowym przetwarzaniem danych przez klienta HTTP.
Oryginalny opis (angielski, źródło NVD)
A prior update that raised a bundled HTTP client library to a version remediating known vulnerabilities was later reverted, reintroducing the earlier, vulnerable version into a log-processing component. The only code path in that component using the library issues a request to a single fixed, trusted vendor URL at initialization and does not process attacker-controlled input through the library, limiting practical exploitability of the reintroduced version in this context.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS