CVE-2026-58150
KrytyczneCVSS 10.0Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Apache Traffic Server nie odrzuca nagłówka Transfer-Encoding w żądaniach HTTP/2, co umożliwia przemycanie żądań (downgrade request smuggling). Problem dotyczy wersji od 8.0.0 do 8.1.9, od 9.0.0 do 9.2.14 oraz od 10.0.0 do 10.1.3.
Ocena ryzyka
Atakujący może przemycać żądania HTTP, co prowadzi do naruszenia integralności ruchu i potencjalnego dostępu do nieautoryzowanych zasobów.
Rekomendacja
Zaleca się aktualizację do wersji 9.2.15 lub 10.1.4, które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Apache Traffic Server does not reject Transfer-Encoding in HTTP/2 requests, allowing downgrade request smuggling. This issue affects Apache Traffic Server: from 8.0.0 through 8.1.9, from 9.0.0 through 9.2.14, from 10.0.0 through 10.1.3. Users are recommended to upgrade to version 9.2.15 or 10.1.4, which fix the issue.