6.5 Moyenne

CVE-2026-93579 Io.netty/netty-codec-http2: netty: http/2 header field values are not validated by default (cr/lf/nul passthrough)

Description

A flaw was found in Netty's HTTP/2 stack. This vulnerability allows a remote attacker to inject prohibited characters, such as NUL, Line Feed, and Carriage Return, into HTTP/2 header field values due to insufficient validation. When these values cross an HTTP/2 to HTTP/1.1 translation boundary, they can be exploited for request smuggling, header injection, or response splitting. This could lead to unauthorized access, data manipulation, or other security bypasses.

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Faible
Intégrité: Faible
Disponibilité: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat AMQ Broker 7	Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3	Versions non publiées
Red Hat build of Apache Camel for Spring Boot 4	Versions non publiées
Red Hat build of Apicurio Registry 3	Versions non publiées
Red Hat build of Debezium 3	Versions non publiées
Red Hat Build of Keycloak	Versions non publiées
Red Hat build of Quarkus	Versions non publiées
Red Hat Data Grid 8	Versions non publiées
Red Hat Fuse 7	Versions non publiées

Afficher les 8 autres branches

Produit	Versions touchées	Corrigé en
Red Hat JBoss Enterprise Application Platform 7	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées
Red Hat build of Quarkus 3.27.5.SP2	Versions non publiées
Red Hat build of Quarkus 3.33.3.SP2	Versions non publiées
Red Hat Build of Debezium 3.6	Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8.1	Versions non publiées

Références

RHSA-2026:69440 access.redhat.com
RHSA-2026:69470 access.redhat.com
RHSA-2026:83612 access.redhat.com
RHSA-2026:95221 access.redhat.com
access.redhat.com access.redhat.com
RHBZ#2536970 bugzilla.redhat.com

Chronologie

Publiée 18 septembre 2026
Dernière modification 4 novembre 2026

Les 88 CVE de Red Hat AMQ Broker 7 →

CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates 8.0 Élevée CVE-2026-93998 Keycloak-core: keycloak-core: saml adapter does not bind signed assertions to the configured identity provider issuer 7.4 Élevée CVE-2026-101292 Apache ActiveMQ Artemis before 2.34.0 contains an unsafe reflection vulnerability in… 8.2 Élevée CVE-2026-93562 A flaw was found in Netty's HTTP/1 decoder 6.5 Moyenne

Suivre cette CVE