CVE-2026-39807
Che cos'è CVE-2026-39807?
La vulnerabilità basata sulla dipendenza da input non attendibili in una decisione di sicurezza in mtrudel bandit consente lo spoofing dello stato di trasporto non autenticato su connessioni HTTP in testo normale. 'Elixir.Bandit.Pipeline':determine_scheme/2 in lib/bandit/pipeline.ex restituisce testualmente lo schema URI fornito dal client, ignorando la sicurezza del trasporto? bandiera. Gli obiettivi della richiesta in formato assoluto HTTP/1.1 (ad esempio GET https://victim/path HTTP/1.1) e la pseudo-intestazione HTTP/2 :scheme sono entrambe stringhe controllate dall'aggressore che passano attraverso questa funzione. Su una connessione TCP in testo semplice, un client può dichiarare https e Bandit imposterà conn.scheme
FAQ
CVE-2026-39807 ha un punteggio CVSS di N/D/10, classificato come Sconosciuto. Consultare l'elenco dei prodotti interessati e applicare le patch del fornitore.
Il CVSS (Common Vulnerability Scoring System) valuta la gravità delle vulnerabilità da 0,0 a 10,0. CVE-2026-39807 ottiene N/D/10 (Sconosciuto). Punteggi da 9,0–10,0 sono Critici, 7,0–8,9 Alti, 4,0–6,9 Medi e sotto 4,0 Bassi.
L'elenco dei dispositivi confermati come interessati da CVE-2026-39807 è mostrato nella sezione "Dispositivi interessati" sopra. Confronta la versione del tuo firmware con l'avviso di sicurezza del fornitore e applica l'ultima patch.
Applica l'ultimo aggiornamento firmware o software del fornitore. Controlla la sezione Riferimenti sopra per avvisi ufficiali e note di patch. Se non è disponibile alcuna patch, considera di disabilitare la funzione interessata o isolare il dispositivo da reti non attendibili.