CVE-2026-108899

WysokieCVSS 7.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.58%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W tobychui zoraxy do wersji 3.3.4 znaleziono wadę. Dotyczy ona funkcji handleBasicAuth w pliku mod/dynamicproxy/authProviders.go komponentu Path Exception Matcher. Manipulacja argumentem PathPrefix powoduje nieprawidłową autoryzację. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Aktualizacja do wersji 3.3.5-rc1 naprawi ten problem. Nazwa poprawki: 37cd0f27b17cd15cfa4af409bfec943146f5fdfe. Zalecane jest zaktualizowanie komponentu.

Ocena ryzyka

Ryzyko polega na możliwości nieautoryzowanego dostępu do zasobów chronionych przez uwierzytelnianie Basic Auth, co może prowadzić do naruszenia poufności i integralności danych.

Rekomendacja

Zaleca się natychmiastową aktualizację zoraxy do wersji 3.3.5-rc1 lub nowszej, która zawiera poprawkę.

Inne podatności w zoraxy

CVE-2026-100390Wysokie
Zoraxy w wersjach od 3.2.3 do 3.3.4 nieprawidłowo parsuje adresy IPv6 w polu RemoteAddr podczas ustawiania nagłówków przekazywania. Nieuwierzytelniony atakujący łączący się przez IPv6 może podać dowolne wartości X-Forwarded-For, aby podszyć się pod źródłowy adres IP i obejść kontrolę dostępu opartą na adresach IP dostawcy autoryzacji.

Oryginalny opis (angielski, źródło NVD)

A flaw has been found in tobychui zoraxy up to 3.3.4. This impacts the function handleBasicAuth of the file mod/dynamicproxy/authProviders.go of the component Path Exception Matcher. This manipulation of the argument PathPrefix causes improper authorization. It is possible to initiate the attack remotely. The exploit has been published and may be used. Upgrading to version 3.3.5-rc1 will fix this issue. Patch name: 37cd0f27b17cd15cfa4af409bfec943146f5fdfe. Upgrading the affected component is advised.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS