PT-2026-35167 · Envoy · Envoy

Lukefr09 · Publicado 2026-04-25 · Atualizado 2026-04-25 · CVE-2026-6994

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas Envoy versões anteriores a 1.33.0

Descrição Uma fraqueza no componente Query Parameter Handler permite a ocorrência de injeção. O problema reside na função params.add() dentro do arquivo source/extensions/filters/http/header mutation/header mutation.cc, podendo ser explorado remotamente.

Recomendações Instale a correção f8f4f1e02fdc64ecd4acf2d903208dd7285ad3a4. Como medida paliativa temporária, restrinja o uso da função params.add() no filtro de mutação de cabeçalho.

Correção

Improper Neutralization

Special Elements Injection

Enumeração de Fraquezas

CWE-707

CWE-74

Identificadores relacionados

CVE-2026-6994

Produtos afetados

Envoy

Referências · 8

• https://github.com/envoyproxy/envoy/commit/f8f4f1e02fdc64ecd4acf2d903208dd7285ad3a4 · Correção
• https://twitter.com/CVEnew/status/2048168330641760398 · Publicação no Twitter
• https://vuldb.com/submit/797241 · Nota
• https://vuldb.com/vuln/359546/cti · Nota
• https://vuldb.com/vuln/359546 · Nota
• https://github.com/envoyproxy/envoy/pull/43502 · Correção
• https://twitter.com/VulmonFeeds/status/2048125682845102312 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-6994 · Nota de Segurança