CVE-2026-110737

Push Endpoint Returns Permissive CORS Headers

CVSS 3.1Medium

2.3/ 10.0

Опубликовано

27 октября 2026 г.

Обновлено

27 октября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Обновитесь до версий 14.14.8, 23.6.17, 24.4.26, 24.7.17, 24.9.24, 24.10.12, 25.2.11, 25.3.3, Vaadin Framework 7.7.55 или 8.32.2 в зависимости от используемой ветки.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Эндпоинт push-уведомлений в приложениях Vaadin возвращает небезопасные заголовки CORS с передачей учетных данных пользователя.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Фреймворк Flow настраивает Atmosphere с параметром DROP_ACCESS_CONTROL_ALLOW_ORIGIN_HEADER в значении false, из-за чего CorsInterceptor дублирует любой переданный заголовок Origin в ответе и разрешает credentials. Сторонняя веб-страница может отправить кросс-доменный запрос с файлами cookie пользователя, однако для чтения полезных данных требуется знание идентификатора push-сессии; приложения без аннотации @Push и транспорт WebSocket не затронуты.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Несанкционированное чтение ответов push-эндпоинта через кросс-доменные запросы с cookie жертвы при наличии push identifier сессии.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

Точные диапазоны версий не зафиксированы в источниках

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)

vaadin.comhttps://vaadin.com/security/cve-2026-110737
github.comhttps://github.com/vaadin/flow/issues/26214
github.comhttps://github.com/vaadin/flow/pull/26215

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-110737: Push Endpoint Returns Permissive CORS Headers. URL: https://cve.futuretools.ru/cve/CVE-2026-110737

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_110737,
  title = {{CVE-2026-110737: Push Endpoint Returns Permissive CORS Headers}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-110737}},
  note = {Оперативный инженерный анализ киберугроз}
}