CVE-2026-91143

WysokieCVSS 7.2

Opublikowano: 14/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 15/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.27%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

goproxy do wersji 15.3 nie stosuje podstawowego uwierzytelniania HTTP proxy do żądań tunelowania CONNECT, co pozwala nieuwierzytelnionym klientom ominąć wymagania dotyczące poświadczeń. Atakujący mogą wysyłać żądania CONNECT, aby ustanowić tunele przez uwierzytelnione proxy bez podawania poświadczeń, umożliwiając przekazywanie dowolnego ruchu TCP i dostęp do ograniczonych miejsc docelowych.

Ocena ryzyka

Nieuwierzytelnieni atakujący mogą wykorzystać proxy do przekazywania ruchu i uzyskać dostęp do wewnętrznych zasobów, co może prowadzić do naruszenia bezpieczeństwa sieci.

Rekomendacja

Zaktualizuj goproxy do wersji nowszej niż 15.3, która zawiera poprawkę wymuszania uwierzytelniania dla CONNECT.

Inne podatności w goproxy

CVE-2023-37788Wysokie
W goproxy v1.1 odkryto problem, który może prowadzić do ataku typu Denial of Service (DoS) za pomocą nieokreślonych wektorów.

Oryginalny opis (angielski, źródło NVD)

goproxy through 15.3 fails to apply HTTP proxy basic authentication to CONNECT tunnel requests, allowing unauthenticated clients to bypass credential requirements. Attackers can issue CONNECT requests to establish tunnels through the authenticated proxy without providing credentials, enabling arbitrary TCP traffic relay and access to restricted destinations.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS