CVE-2026-71485
KrytyczneCVSS 9.1Streszczenie
Centrifugo przed wersją 6.9.0 pozwala zdalnemu klientowi na sfałszowanie nagłówków, takich jak x-trusted-user, w wywołaniach proxy connect, refresh, subscribe, publish, RPC i pokrewnych, gdy backend polega na tym nagłówku do uwierzytelniania lub autoryzacji. Podatność wynika z kopiowania nagłówków kontrolowanych przez klienta do kontekstu połączenia i przekazywania ich jako zaufanych nagłówków backendu.
Ocena ryzyka
Atakujący może podszyć się pod zaufanego użytkownika i uzyskać nieautoryzowany dostęp do funkcji lub danych, jeśli backend używa tych nagłówków do autoryzacji.
Rekomendacja
Zaktualizuj Centrifugo do wersji 6.9.0 lub nowszej, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
Centrifugo is an open-source scalable real-time messaging server. Prior to 6.9.0, Centrifugo copies the client-controlled protocol.ConnectRequest.headers map through OnClientConnecting in internal/client/handler.go, ConnectEvent.Headers, and SetEmulatedHeadersToContext. The requestHeaders path in internal/proxy/http.go, the requestMetadata path in internal/proxy/grpc.go, and the Consume path in internal/unigrpc/grpc.go can forward an allowlisted value as a trusted backend header or metadata value. A remote client can spoof a header such as x-trusted-user for connect, refresh, subscribe, publish, RPC, and related proxy calls when the backend relies on that header for authentication or authorization. The unidirectional gRPC transport has no transport-level HTTP header that can override the emulated value. This issue is fixed in version 6.9.0.