CVE-2026-50052
Vulnérabilité faible dans Vinyl Cache (The Vinyl Cache Project)
CVSS 2.3 · Faible
EPSS 0.5%
The Vinyl Cache Project•Vinyl Cache•Versions : 9.0.0, <=9.0.2, 8.0.2, 6.0.14, <=6.0.17, 6.0.18, 7.6.0, 9.0.1, <=8.0.1, 9.0.3
Description
In Vinyl Cache before 9.0.1 and Varnish Cache before 9.0.3, a deficiency in HTTP/2 request parsing can be exploited to launch a backend request desync attack (request smuggling), which in turn can be used for cache poisoning, authentication bypass, or possibly even information disclosure and manipulation. The attack vector only exists if HTTP/2 support is enabled by setting the feature parameter to contain +http2. HTTP/2 support is disabled by default.
Gravité et risque d'exploitation
CVE-2026-50052 obtient un score CVSS de 2.3/10, soit une gravité faible. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.47 %, ce qui la place devant 39.6 % des CVE référencées.
Que faire ?
- Vérifiez si Vinyl Cache (versions 9.0.0, <=9.0.2, 8.0.2, 6.0.14, <=6.0.17, 6.0.18, 7.6.0, 9.0.1, <=8.0.1, 9.0.3) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.