### Resumo O `CorsHandler` da Netty substitui silenciosamente os cabeçalhos `Vary` existentes, permitindo envenenamento de cache e divulgação de informações sensíveis. ### Detalhes `io.netty.handler.codec.http.cors.CorsHandler#setVaryHeader` sobrescreve quaisquer cabeçalhos Vary existentes definidos por aplicativos backend. ```java vazio estático privado setVaryHeader(final HttpResponse response) { response.headers(.set(HttpHeaderNames.VARY, HttpHeaderNames.ORIGIN); } ```. Porque `set()` substitui todos os valores existentes para o cabeçalho, se um aplicativo backend configurar um cabeçalho `Vary` (tal como `Vary: Autorisation` ou `Vary: Cookie`) para garantir que as respostas de cache intermédios (como CDNs) separadamente por usuário, o `CorsHandler` irá sobrescrevê- lo com `Vary: origin`. Isto faz com que o proxy de cache ignore o contexto de autorização e cache a resposta baseada apenas no URL e Origem, permitindo que um atacante recupere os dados sensíveis de cache de outro usuário.
### Impacto Esta é uma vulnerabilidade de envenenamento de cache que leva à divulgação de informações. Ele impacta qualquer aplicativo web baseado na Netty que use o CorsHandler, estabelece seus próprios cabeçalhos Vary para gerenciar o cache de respostas autenticadas ou específicas do usuário (por exemplo, Vary: Autorização), e é implementado por trás de um proxy de cache ou CDN. Os usuários finais desses aplicativos são impactados, pois seus dados sensíveis podem ser vazados para atores não autorizados. Registro de aconselhamento: GHSA- 8 c 42 - 7 qj 2 - 3 j 46. Identificadores relacionados: CVE- 2026 - 59903.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 17 T 18: 24: 26.000 Z e lista a sua última modificação como 2026 - 08 - 17 T 18: 24: 26.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N.
Software afetado e informações de versão: Pacote Maven io.netty:netty-codec-http — ECOSISTEM: introduzido 4.2.0. Final, fixo 4.2.17.Final. Pacote Maven io.netty:netty-codec- http — ECOSISTEM: introduzido 0, corrigido 4.1.137.Final. Classificação e evidência: identificadores de fraqueza CWE- 524. O registro contém 6 suporte de referências nestes tipos: WEB, PACKAGE.