CVE-2026-59903 Netty — эксплойт и детали уязвимости MEDIUM

CVE-2026-59903

MEDIUM CVSS 3.1: 6,5 EPSS 0.24%

Параметр	Значение
CVSS	6,5 (MEDIUM)
Тип уязвимости	CWE-524
Поставщик	Netty
Публичный эксплойт	Нет

Netty — это асинхронная платформа сетевых приложений, управляемая событиями. До версий 4.1.137.Final и 4.2.17.Final io.netty.handler.codec.http.cors.CorsHandler setVaryHeader заменяет заголовки Vary приложения, такие как Authorization или Cookie с Origin, позволяя кэширующему прокси-серверу или CDN повторно использовать аутентифицированные ответы между пользователями и раскрывать конфиденциальную информацию. Эта проблема исправлена в версиях 4.1.137.Final и 4.2.17.Final.

Показать оригинальное описание (EN)

Netty is an asynchronous, event-driven network application framework. Prior to 4.1.137.Final and 4.2.17.Final, io.netty.handler.codec.http.cors.CorsHandler setVaryHeader replaces application Vary headers such as Authorization or Cookie with Origin, allowing a caching proxy or CDN to reuse authenticated responses across users and disclose sensitive information. This issue is fixed in versions 4.1.137.Final and 4.2.17.Final.