CVE-2025-12543
Undertow-core: o servidor http undertow não rejeita cabeçalhos de host malformados, levando a potencial envenenamento de cache e ssrf
- Publicado
- 7 de jan. de 2026
- Atualizado
- 14 de out. de 2026
- Atribuindo CNA
- redhat
- Evidência observada
- 8 de ago. de 2026
CVSS primário
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:LBaixo · próximos 30 dias
- Percentil
- 70,9%
- Data do modelo
- 23 de out. de 2026
EPSS é uma estimativa estatística, não uma certeza ou uma medida de impacto. Combine-o com CVSS, status KEV, exposição e seu ambiente.
Resumo
Foi encontrada uma falha no núcleo do servidor HTTP Undertow, que é usado no WildFly, JBoss EAP e outras aplicações Java. A biblioteca Undertow não valida corretamente o cabeçalho Host em requisições HTTP recebidas. Como resultado, requisições contendo cabeçalhos Host malformados ou maliciosos são processadas sem rejeição, permitindo que atacantes envenenem caches, realizem varreduras em redes internas ou sequestrem sessões de usuários.
Fontes
Imagem base Docker com correção retroativa de validação de cabeçalho Host para CVE-2025-12543 no Undertow 1.4.x, permitindo a implantação segura de aplicações WildFly 11.
Uso responsável
Use informações de vulnerabilidade apenas em sistemas que você possui ou está autorizado a testar. O Kitploit vincula-se a metadados de pesquisa pública e não armazena código de exploração ou cargas maliciosas.