CVE-2026-10050
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
W Eclipse Jetty komponent uwierzytelniania Digest po stronie serwera używa ISO-8859-1 do kodowania hasła jako bajtów, co powoduje, że znaki spoza tego zestawu (np. chińskie, cyrylica, greckie) są zastępowane znakiem '?'.
Ocena ryzyka
Atakujący może wysłać żądanie z nagłówkiem Authorization zawierającym hasło złożone z samych znaków '?', co pozwoli na dopasowanie do dowolnego hasła o tej samej długości zawierającego znaki spoza ISO-8859-1, co może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Eclipse Jetty do wersji, która obsługuje RFC-7616 z parametrem charset=UTF-8, aby poprawnie kodować hasła.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Jetty, the Digest authentication server-side component uses ISO-8859-1 to encode the password as bytes. This was done because the initial specification for HTTP did not specify explicitly a charset, and it was assumed to be ISO-8859-1 for historical reasons. If the password contains characters that cannot be represented in ISO-8859-1, they are silently replaced by `?`. This happens with passwords that contain Chinese, Cyrillic or Greek characters, for example: `αβ123` converts to `??123`. An attacker can send a request with a digest `Authorization` header crafted with a password made of only `?` characters; the server would match any password of the same length that contains non-ISO-8859-1 characters. Recent HTTP Digest [RFC-7616](https://datatracker.ietf.org/doc/html/rfc7616) supports a `charset` parameters that defaults to UTF-8 that allows for correct encoding/decoding of passwords.