CVE-2026-90455

ŚrednieCVSS 6.3

Opublikowano: 11/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 12/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wcześniejsza aktualizacja, która podniosła wbudowaną bibliotekę klienta HTTP do wersji usuwającej znane podatności, została później wycofana, przywracając starszą, podatną wersję do komponentu przetwarzającego logi. Jedyna ścieżka kodu w tym komponencie korzystająca z biblioteki wysyła żądanie do jednego stałego, zaufanego adresu URL dostawcy przy inicjalizacji i nie przetwarza danych kontrolowanych przez atakującego.

Ocena ryzyka

Praktyczna eksploatacja przywróconej podatnej wersji jest ograniczona, ponieważ biblioteka nie przetwarza danych wejściowych od atakującego. Mimo to obecność znanej podatnej biblioteki stanowi ryzyko w przypadku zmiany sposobu jej użycia w przyszłości.

Rekomendacja

Ponownie zastosuj aktualizację biblioteki klienta HTTP do wersji pozbawionej znanych podatności. Zweryfikuj, czy żadna inna ścieżka kodu nie korzysta z tej biblioteki w sposób podatny na atak.

Inne podatności w HTTP client library

CVE-2025-4673Średnie
Podatność w mechanizmie przekierowań między domenami powoduje, że nagłówki Proxy-Authorization i Proxy-Authenticate są zachowywane, co może prowadzić do wycieku wrażliwych danych uwierzytelniających.

Oryginalny opis (angielski, źródło NVD)

A prior update that raised a bundled HTTP client library to a version remediating known vulnerabilities was later reverted, reintroducing the earlier, vulnerable version into a log-processing component. The only code path in that component using the library issues a request to a single fixed, trusted vendor URL at initialization and does not process attacker-controlled input through the library, limiting practical exploitability of the reintroduced version in this context.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS