CVE-2026-9190
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.7%
- CWE
- CWE-444
- KEV Durumu
- Hayır
Yayım tarihi: 5 Ağustos 2026
Etkilenen: progress marklogic_server
Progress MarkLogic Server 11.3.6 ve 12.0.3 sürümlerinden önceki HTTP Uygulama Sunucusu'nda bulunan bir HTTP istek kaçırma zafiyeti, uzaktaki bir saldırganın kimlik doğrulama ve yetkilendirme kontrollerini atlamasına, meşru bir kullanıcının oturumunu ele geçirmesine veya kimlik bilgilerini ele geçirmesine olanak tanır. Zafiyet, hem Content-Length hem de Transfer-Encoding başlıklarını içeren özel olarak hazırlanmış bir HTTP isteğinin, ters vekil sunucu ve MarkLogic Server'ın istek sınırlarını farklı şekilde yorumlamasına neden olduğunda ortaya çıkar.
Orijinal açıklama (İngilizce)
An HTTP request smuggling vulnerability in the HTTP App Server of Progress MarkLogic Server before 11.3.6 and 12.0.3 allows a remote attacker to bypass authentication and authorization checks, hijack a legitimate user's session, or capture credentials. The vulnerability occurs when a crafted HTTP request containing both Content-Length and Transfer-Encoding headers causes a reverse proxy and MarkLogic Server to interpret request boundaries differently.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.