- Son 7 gün
- CWE-295
CVE-2026-119559
OpenLiteSpeed through 1.9.4 mTLS Bypass via HTTP/3 SNI and Host Mismatch
Orta
5,9
CVSS 3.1
- Yayımlandı
- Güncellendi
- 30 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
Özet
Türkçe özeti yalnızca kritik ve yüksek önemdeki açıklar için hazırlıyoruz. Bu açık için kaynağın kendi açıklamasını gösteriyoruz.
OpenLiteSpeed through 1.9.4 contains an authentication bypass vulnerability that allows unauthenticated remote attackers to evade virtual host client certificate requirements over HTTP/3. Because QuicStream inherits a verifyContext() implementation that always returns true, attackers can present a non-mTLS host's SNI with a protected Host header to access protected content.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| litespeedtech openlitespeed | ≤ 1.9.4 | – |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- abraxaslabs.tech/research/openlitespeed-h3-mtls-verifycontext Üçüncü taraf
- vulncheck.com/…4-mtls-bypass-via-http-3-sni-and-host-mismatch Üçüncü taraf
- github.com/…litespeed/blob/v1.9.4/src/http/httpsession.cpp Diğer
- github.com/…penlitespeed/blob/v1.9.4/src/sslpp/hiocrypto.h Diğer
- github.com/…penlitespeed/blob/v1.9.4/src/quic/quicstream.h Diğer
- github.com/litespeedtech/openlitespeed Diğer
Kayıt geçmişi
- Yayımlandı