Varnish · Vinyl Cache · CVE-2026-50052
**Nome do Software Vulnerável e Versões Afetadas**
Vinyl Cache versões anteriores a 9.0.1
Varnish Cache versões anteriores a 9.0.3
**Description**
Uma deficiência na análise de requisições HTTP/2 permite ataques de dessincronização de requisições de backend, também conhecidos como request smuggling. Isso ocorre quando os servidores de frontend e backend divergem sobre onde termina uma requisição, permitindo que um invasor "contrabandeie" uma requisição. Isso pode levar ao envenenamento de cache, bypass de autenticação, divulgação de informações e manipulação de dados. O problema só existe se o suporte ao HTTP/2 estiver habilitado ao configurar o parâmetro `feature` para conter `+http2`. Por padrão, esse suporte está desativado.
**Recommendations**
Atualize o Vinyl Cache para a versão 9.0.1 ou posterior.
Atualize o Varnish Cache para a versão 9.0.3 ou posterior.
Como mitigação temporária, certifique-se de que o suporte ao HTTP/2 esteja desativado removendo `+http2` do parâmetro `feature`.