JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026187 Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalおよび4.1.0.Finalから4.1.135.Finalにおいて、オリジン評価プロセス中にセキュリティ制御が回避される脆弱性があります。CorsHandlerは、リクエストがアプリケーションに到達する前に不正なクロスオリジンリクエストを即座に拒否することを目的としてshortCircuit()設定を提供しています。しかし、オリジン評価プロセスにおける論理演算子の誤りにより、この保護機構が完全に回避される可能性があります。攻撃者はOrigin: nullヘッダーを付与したリクエストを送信することでshort-circuitメカニズムを回避できます。この問題のために、不正なリクエストがアクセス制御を回避してバックエンドアプリケーションに転送されてしまいます。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026187.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56746 https://www.cve.org/CVERecord?id=CVE-2026-56746 National Vulnerability Database (NVD) CVE-2026-56746 https://nvd.nist.gov/vuln/detail/CVE-2026-56746 GitHub Security Control Bypass via CORS Short-Circuit Failure Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-6cqp-g7gg-8hr5 JVNDB CWE-284 https://cwe.mitre.org/data/definitions/284.html 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Release netty-4.1.136.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.1.136.Final 2026-07-31T14:59:33+09:00 2026-07-31T14:59:33+09:00