Niedrig

org.eclipse.jetty:jetty-http has different parsing of invalid URIs

Veröffentlicht: 05.03.2026
Aktualisiert: 11.10.2026 13:20

The Jetty URI parser has some key differences compared to other common parsers when evaluating invalid or unusual URIs. Specifically:

Invalid Scheme

URI	Jetty	uri-js (nodejs)	node-url(nodejs)
`https>://vulndetector.com/path`	scheme=`http>`	scheme=`https`	invalid URI

Improper IPv4 mapped IPv6

URI	Jetty	System.Uri(CSharp)	curl(C)
`http://[0:0:0:0:0:ffff:127.0.0.1]`	invalid	host=`[::ffff:127.0.0.1]`	host=`[::ffff:127.0.0.1]`
`http://[::ffff:255.255.0.0]`	invalid	host=`[::ffff:255.255.0.0]`	host=`[::ffff:255.255.0.0]`

Incorrect IPv6 delimeter priority

URI	Jetty	urllib3(python)	furl(python)	Spring	chromium
`http://[normal.com@]vulndetector.com/`	host=`[normal.com@]`	invalid	invalid
`http://normal.com[user@vulndetector].com/`	host=`[noirmal.com@vulndetector			host=`normal.com`	invalid
`http://normal.com[@]vulndetector.com/`	host=`normal.com[@]			host=`normal.com`	invalid

Incorrect delimeter priority

URI	Jetty	urllib3(python)	jersey
`http://normal.com/#@vulndetector.com`	host=`vulndetector.com`	host=`normal.com`	host=`normal.com`
`http://normal.com/?@vulndetector.com`	host=`vulndetector.com`	host=`normal.com`	host=`normal.com`

Impact

Differential parsing of URIs in systems using multiple components may result in security by-pass. For example a component that enforces a black list may interpret the URIs differently from one that generates a response. At the very least, differential parsing may divulge implementation details.

Patches

Patched in Supported Open Source versions.

12.1.5 - Supported and available on Maven Central
12.0.31 - Supported and available on Maven Central
11.0.x - EOL Release, patches available on tuxcare and herodevs
10.0.x - EOL Release, patches available on tuxcare and herodevs
9.4.x - EOL Release, patches available on tuxcare and herodevs

Workarounds

None

Resources

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.eclipse.jetty:jetty-http	>= 9.4.0, <= 9.4.58, >= 10.0.0, <= 10.0.26, >= 11.0.0, <= 11.0.26, >= 12.0.0, < 12.0.31, >= 12.1.0, < 12.1.5	12.0.31, 12.1.5

Verweise

CVSS-Wert 3.7/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
Schwäche (CWE): CWE-20
Plattform: Java / Kotlin (Maven)
Paket: org.eclipse.jetty:jetty-http
Veröffentlicht: 05.03.2026
Aktualisiert: 11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-wjpw-4j6x-6rwh - CC BY 4.0

Schwachstellenhistorie: org.eclipse.jetty:jetty-http

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 07.2022 04.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 1
Mittel 2
Niedrig 2

Veröffentlichungen pro Jahr

2022: 1
2023: 1
2024: 1
2025: 0
2026: 2

14.04.2026

Jetty has HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Hoch · 7.4 CVE-2026-2332 >= 12.1.0, < 12.1.7, >= 12.0.0, < 12.0.33, >= 11.0.0, < 11.0.29, >= 10.0.0, < 10.0.28, >= 9.4.0, < 9.4.60 12.1.7, 12.0.33, 11.0.29, 10.0.28, 9.4.60
05.03.2026

org.eclipse.jetty:jetty-http has different parsing of invalid URIs dieser Eintrag

Niedrig · 3.7 CVE-2025-11143 >= 9.4.0, <= 9.4.58, >= 10.0.0, <= 10.0.26, >= 11.0.0, <= 11.0.26, >= 12.0.0, < 12.0.31, >= 12.1.0, < 12.1.5 12.0.31, 12.1.5
14.10.2024

Eclipse Jetty URI parsing of invalid authority

Mittel · 3.7 CVE-2024-6763 >= 7.0.0, < 12.0.12 12.0.12
14.09.2023

Jetty accepts "+" prefixed value in Content-Length

Mittel · 5.3 CVE-2023-40167 >= 9.0.0, < 9.4.52, >= 10.0.0, < 10.0.16, >= 11.0.0, < 11.0.16, >= 12.0.0, < 12.0.1 9.4.52, 10.0.16, 11.0.16, 12.0.1
07.07.2022

Jetty invalid URI parsing may produce invalid HttpURI.authority

Niedrig · 2.7 CVE-2022-2047 < 9.4.47, >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10 9.4.47, 10.0.10, 11.0.10

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden