### Sumário O CorsHandler da Netty fornece uma configuração `shortCircuit()` projetada para rejeitar pedidos de origem cruzada não autorizados imediatamente, atuando como um controle de segurança antes que os pedidos cheguem ao aplicativo. No entanto, devido a um erro lógico do operador no processo de avaliação da origem, esta proteção pode ser completamente evitada. Um atacante pode contornar o mecanismo de curto- circuito enviando um pedido com um cabeçalho ` Origin: null`. Esta falha encaminha as solicitações não autorizadas para o aplicativo backend, omitendo os controles de acesso pretendidos. ### Detalhes Em `io.netty.handler.codec.http.cors.CorsHandler#channelRead`, a lógica de curto-circuito depende da configuração devolvida por `getForOrigin( origin)` para determinar se uma origem está autorizada. Se `getForOrigin` devolve um objeto de configuração, a verificação de curto- circuito `(!(origem == null ї. config!= null)` é evitada, e o pedido prossegue para o backend. A vulnerabilidade está localizada no método `getForOrigin`. ```java if (corsConfig.isNullOriginAllowed()) ї evidenziando NULL_ORIGIN. iguais(requestOrigin)) { retorna corsConfig; } ```.

Se um atacante enviar ` Origin: null`, ` NULL_ ORIGIN.equals(requestOrigin)` avalia para true. O método retorna o objeto de configuração, independentemente de o ` isNullOriginAllowed()` ser configurado pelo desenvolvedor. O curto- circuito é evitado. ### Aplicativos de Impacto dependendo do recurso de curto-circuito do CorsHandler para evitar que pedidos não autorizados de origem cruzada cheguem à sua lógica de backend são completamente expostos. O framework não consegue impor os controles de acesso pretendidos pelo desenvolvedor, permitindo que pedidos não autorizados sejam processados. Registro de aconselhamento: GHSA- 6 cqp- g 7 gg- 8 hr 5. Identificadores relacionados: CVE- 2026 - 56746.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 22 T 21: 42: 17.000 Z e lista a sua última modificação como 2026 - 07 - 22 T 21: 42: 17.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N.

Software afetado e informações de versão: Pacote Maven io.netty:netty-codec-http — ECOSISTEM: introduzido 4.2.0. Final, fixo 4.2.16.Final. Pacote Maven io.netty:netty-codec- http — ECOSISTEM: introduzido 0, corrigido 4.1.136.Final. Classificação e evidência: identificadores de fraqueza CWE- 284. O registro contém 5 suporte de referências nestes tipos: WEB, AVISO, EMBALAGAMENTO.