Podatności Pingora
3 znanych podatności CVE w Pingora, przetłumaczonych i ocenionych.
- CVE-2026-105299Wysokie
W wersjach pingora-proxy przed 0.9.0 ścieżka HTTP/1 do upstreamu nie usuwała nagłówka Connection ani innych nagłówków hop-by-hop ani nagłówków wskazanych przez Connection, mimo wymogu RFC 9110. Klient mógł wskazać nagłówek dodawany przez aplikację w upstream_request_filter (np. X-Forwarded-For), który następnie był usuwany przez pośrednika HTTP/1 przed dotarciem do originu.
- CVE-2026-105298Średnie
W wersjach Pingora przed 0.9.0 akceptowano żądania HTTP/2, w których nagłówek Host różnił się od pseudo-nagłówka :authority. Filtry żądań, klucze cache i logi widziały wartość :authority, natomiast serwer upstream otrzymywał wartość Host dostarczoną przez klienta. Pingora akceptowała również wartości :authority zawierające userinfo (np. [email protected]), co narusza RFC 9113 sekcja 8.3.1.
- CVE-2026-105297Wysokie
W Pingora przed wersją 0.8.1 serwer HTTP/2 używał domyślnych limitów biblioteki h2, co pozwalało zdalnemu, nieuwierzytelnionemu klientowi wysyłać 1-bajtowe referencje HPACK do niemal pustego nagłówka. Powodowało to alokację setek tysięcy pól nagłówka na strumień przy nieograniczonej liczbie strumieni na jednym połączeniu, co mogło wyczerpać pamięć i zakończyć proces Pingora.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS