CVE-2025-12543
Undertow-core: el servidor http undertow no logra rechazar cabeceras de host malformadas, lo que conduce a un posible envenenamiento de caché y ssrf
- Publicado
- 7 ene 2026
- Actualizado
- 14 oct 2026
- Asignación de CNA
- redhat
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:LBajo · próximos 30 días
- Percentil
- 70,9 %
- Fecha del modelo
- 23 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Se encontró una vulnerabilidad en el núcleo del servidor HTTP Undertow, que se utiliza en WildFly, JBoss EAP y otras aplicaciones Java. La biblioteca Undertow no valida correctamente el encabezado Host en las solicitudes HTTP entrantes. Como resultado, las solicitudes que contienen encabezados Host malformados o maliciosos se procesan sin ser rechazadas, lo que permite a los atacantes envenenar cachés, realizar escaneos de red internos o secuestrar sesiones de usuario.
Fuentes
Imagen base de Docker con corrección retroportada de validación de cabecera Host para CVE-2025-12543 en Undertow 1.4.x, permitiendo el despliegue seguro de aplicaciones WildFly 11.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.