Heimdall Security Logo

CVE-2026-89186

Vulnérabilité moyenne dans mpp (ZenHive)

CVSS 6.3 · Moyenne
EPSS 0.5%
ZenHive•mpp•Versions : <0.16.2, <2fd91a5ecbd0b0ad2a4ac202b79659e8126dbc0b, 0.1.0, 2d4d1d94aae7790ae0623063961adbeef171fa71

Description

Use of Cache Containing Sensitive Information in ZenHive mpp allows a shared HTTP cache to store a paid response and serve it to clients that never paid. MPP.Plug.verify_credential in lib/mpp/plug.ex sets payment-receipt and cache-control: private on the connection before the wrapped application runs, and registers no register_before_send/2 callback. Plug.Conn.put_resp_header/3 replaces an existing header, so a mounting application that sets its own cache-control on the paid resource (for example public, max-age=3600) silently overrides the private the library relies on, and a CDN or reverse proxy can then store the paid 200 together with its Payment-Receipt and serve both to unpaid clients. The library-level guarantee is therefore defeatable by the application it protects. For the same reason a downstream non-2xx response still carried Payment-Receipt, issuing a receipt for a response that delivered no resource. This issue affects mpp: from 0.1.0 before 0.16.2.

Gravité et risque d'exploitation

CVE-2026-89186 obtient un score CVSS de 6.3/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.52 %, ce qui la place devant 43.2 % des CVE référencées.

Que faire ?

  • Vérifiez si mpp (versions <0.16.2, <2fd91a5ecbd0b0ad2a4ac202b79659e8126dbc0b, 0.1.0, 2d4d1d94aae7790ae0623063961adbeef171fa71) est présent sur votre parc.
  • Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
  • À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
  • Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

Rechercher une autre CVE