CVE-2026-47844

Podatność występuje, gdy klient wysyła potokowe żądania HTTP/1.1 przez jedno połączenie, co powoduje, że serwer HTTP Reactor Netty zużywa nadmierną ilość pamięci. Dotyczy wersji Reactor Netty 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

W określonych scenariuszach serwer HTTP Reactor Netty może nieprawidłowo oceniać zdalny adres IP, gdy włączony jest protokół HAProxy. Aby to nastąpiło, aplikacja musi być skonfigurowana do korzystania z protokołu HAProxy. Dotyczy Reactor Netty 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

W konkretnych scenariuszach obejmujących przekierowania podczas uzgadniania WebSocket do innego pochodzenia, klient WebSocket Reactor Netty może wyciekać poświadczenia. Aby to nastąpiło, klient HTTP musi być jawnie skonfigurowany do podążania za przekierowaniami. Dotyczy wersji Reactor Netty 1.3.0 - 1.3.6, 1.1.0 - 1.2.18 oraz 1.0.52 i wcześniejszych.

Reactor Netty w określonych scenariuszach z wieloma klientami o różnych konfiguracjach resolvera DNS może nieprawidłowo ponownie używać wcześniej skonfigurowanego resolvera DNS. Dotyczy wersji 1.3.0-1.3.6, 1.1.0-1.2.18 oraz 1.0.52 i wcześniejszych.

W określonych scenariuszach z przekierowaniami HTTP z bezpiecznego do niebezpiecznego punktu końcowego, klient HTTP Reactor Netty może wyciekać poświadczenia. Aby to nastąpiło, klient HTTP musi być jawnie skonfigurowany do śledzenia przekierowań. Podatność dotyczy Reactor Netty w wersjach 1.0.0-1.0.51, 1.1.0-1.1.35, 1.2.0-1.2.17 oraz 1.3.0-1.3.5.