Niska

Jetty invalid URI parsing may produce invalid HttpURI.authority

Ujawniono: 07.07.2022
Aktualizacja: 11.10.2026 13:19

Description

URI use within Jetty's HttpURI class can parse invalid URIs such as http://localhost;/path as having an authority with a host of localhost;.

A URIs of the type http://localhost;/path should be interpreted to be either invalid or as localhost; to be the userinfo and no host. However, HttpURI.host returns localhost; which is definitely wrong.

Impact

This can lead to errors with Jetty's HttpClient, and Jetty's ProxyServlet / AsyncProxyServlet / AsyncMiddleManServlet wrongly interpreting an authority with no host as one with a host.

Patches

Patched in PR #8146 for Jetty version 9.4.47. Patched in PR #8014 for Jetty versions 10.0.10, and 11.0.10

Workarounds

None.

For more information

If you have any questions or comments about this advisory:

Email us at security@webtide.com.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.eclipse.jetty:jetty-http	< 9.4.47, >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10	9.4.47, 10.0.10, 11.0.10

Odnośniki

Ocena CVSS 2.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE): CWE-20
Platforma: Java / Kotlin (Maven)
Paczka: org.eclipse.jetty:jetty-http
Ujawniono: 07.07.2022
Aktualizacja: 11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cj7v-27pg-wf7q - CC BY 4.0

Historia podatności: org.eclipse.jetty:jetty-http

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 07.2022 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 2
Niska 2

Ujawnienia w latach

2022: 1
2023: 1
2024: 1
2025: 0
2026: 2

14.04.2026

Jetty has HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Wysoka · 7.4 CVE-2026-2332 >= 12.1.0, < 12.1.7, >= 12.0.0, < 12.0.33, >= 11.0.0, < 11.0.29, >= 10.0.0, < 10.0.28, >= 9.4.0, < 9.4.60 12.1.7, 12.0.33, 11.0.29, 10.0.28, 9.4.60
05.03.2026

org.eclipse.jetty:jetty-http has different parsing of invalid URIs

Niska · 3.7 CVE-2025-11143 >= 9.4.0, <= 9.4.58, >= 10.0.0, <= 10.0.26, >= 11.0.0, <= 11.0.26, >= 12.0.0, < 12.0.31, >= 12.1.0, < 12.1.5 12.0.31, 12.1.5
14.10.2024

Eclipse Jetty URI parsing of invalid authority

Średnia · 3.7 CVE-2024-6763 >= 7.0.0, < 12.0.12 12.0.12
14.09.2023

Jetty accepts "+" prefixed value in Content-Length

Średnia · 5.3 CVE-2023-40167 >= 9.0.0, < 9.4.52, >= 10.0.0, < 10.0.16, >= 11.0.0, < 11.0.16, >= 12.0.0, < 12.0.1 9.4.52, 10.0.16, 11.0.16, 12.0.1
07.07.2022

Jetty invalid URI parsing may produce invalid HttpURI.authority ten wpis

Niska · 2.7 CVE-2022-2047 < 9.4.47, >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10 9.4.47, 10.0.10, 11.0.10

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację