CVE-2026-43972
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Biblioteka gun (moduł gun_http2) w wersjach od 2.0.0 do 2.4.0 ma podatność walidacji pochodzenia. Niezweryfikowany nagłówek :authority w ramce PUSH_PROMISE pozwala na wstrzyknięcie ciasteczek dla dowolnej domeny trzeciej, co umożliwia ataki fixation sesji i przejęcie konta.
Ocena ryzyka
Złośliwy serwer HTTP/2 może wstrzyknąć ciasteczka dla dowolnej domeny do magazynu ciasteczek klienta, co może prowadzić do przejęcia sesji i konta użytkownika.
Rekomendacja
Zaleca się aktualizację biblioteki gun do wersji 2.4.0 lub nowszej.
Inne podatności w gun
Zobacz wszystkie- CVE-2026-43974Wysokie
Podatność w module gun_http biblioteki gun (Erlang/Elixir) pozwala złośliwemu serwerowi HTTP na wymuszenie przejścia klienta w tryb surowego protokołu poprzez nieoczekiwaną odpowiedź 101 Switching Protocols. Funkcja handle_inform/8 nie sprawdza, czy klient wysłał nagłówek Upgrade lub Connection: upgrade w żądaniu. Po otrzymaniu odpowiedzi 101, gun przechodzi w tryb raw, gdzie nie stosuje kontroli przepływu, a serwer może zalać klienta dowolnymi danymi, prowadząc do wyczerpania pamięci i awarii VM.
- CVE-2026-43973Wysokie
Podatność w module gun_http biblioteki gun (Erlang/Elixir) pozwala złośliwemu serwerowi na wyczerpanie pamięci klienta poprzez nieograniczone buforowanie odpowiedzi HTTP/1.1. Funkcja handle/5 gromadzi dane TCP w buforze połączenia bez górnego limitu, gdy oczekiwany terminator (np. \r\n\r\n) nie nadchodzi. Złośliwy serwer może wysłać częściową odpowiedź, która nigdy się nie kończy, powodując ciągły wzrost bufora i wyczerpanie pamięci węzła BEAM.
Oryginalny opis (angielski, źródło NVD)
Origin Validation Error vulnerability in ninenines gun (gun_http2 module) allows cross-origin cookie injection via unvalidated HTTP/2 PUSH_PROMISE authority. In gun_http2:push_promise_frame/7, the :authority pseudo-header from an incoming PUSH_PROMISE frame is stored verbatim into the promised stream record without checking that it matches the connection's origin. When gun_http2:headers_frame/9 later processes the response headers for the promised stream, it calls gun_cookies:set_cookie_header/7 with the unvalidated server-supplied authority before any status branching and before user code can act. This violates RFC 7540 §10.6 / RFC 9113 §8.4, which require receivers to treat as a protocol error any push for a resource the server is not authoritative for. A malicious or compromised HTTP/2 server can plant cookies scoped to arbitrary third-party domains into the client's shared cookie store. This enables session fixation attacks against those domains and, if the planted cookie overrides a legitimate session token, may result in account takeover. No user interaction beyond making a normal HTTP/2 request to the attacker-controlled server is required. This issue affects gun: from 2.0.0 before 2.4.0.