Niska

org.eclipse.jetty:jetty-http has different parsing of invalid URIs

Ujawniono: 05.03.2026
Aktualizacja: 11.10.2026 13:20

The Jetty URI parser has some key differences compared to other common parsers when evaluating invalid or unusual URIs. Specifically:

Invalid Scheme

URI	Jetty	uri-js (nodejs)	node-url(nodejs)
`https>://vulndetector.com/path`	scheme=`http>`	scheme=`https`	invalid URI

Improper IPv4 mapped IPv6

URI	Jetty	System.Uri(CSharp)	curl(C)
`http://[0:0:0:0:0:ffff:127.0.0.1]`	invalid	host=`[::ffff:127.0.0.1]`	host=`[::ffff:127.0.0.1]`
`http://[::ffff:255.255.0.0]`	invalid	host=`[::ffff:255.255.0.0]`	host=`[::ffff:255.255.0.0]`

Incorrect IPv6 delimeter priority

URI	Jetty	urllib3(python)	furl(python)	Spring	chromium
`http://[normal.com@]vulndetector.com/`	host=`[normal.com@]`	invalid	invalid
`http://normal.com[user@vulndetector].com/`	host=`[noirmal.com@vulndetector			host=`normal.com`	invalid
`http://normal.com[@]vulndetector.com/`	host=`normal.com[@]			host=`normal.com`	invalid

Incorrect delimeter priority

URI	Jetty	urllib3(python)	jersey
`http://normal.com/#@vulndetector.com`	host=`vulndetector.com`	host=`normal.com`	host=`normal.com`
`http://normal.com/?@vulndetector.com`	host=`vulndetector.com`	host=`normal.com`	host=`normal.com`

Impact

Differential parsing of URIs in systems using multiple components may result in security by-pass. For example a component that enforces a black list may interpret the URIs differently from one that generates a response. At the very least, differential parsing may divulge implementation details.

Patches

Patched in Supported Open Source versions.

12.1.5 - Supported and available on Maven Central
12.0.31 - Supported and available on Maven Central
11.0.x - EOL Release, patches available on tuxcare and herodevs
10.0.x - EOL Release, patches available on tuxcare and herodevs
9.4.x - EOL Release, patches available on tuxcare and herodevs

Workarounds

None

Resources

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.eclipse.jetty:jetty-http	>= 9.4.0, <= 9.4.58, >= 10.0.0, <= 10.0.26, >= 11.0.0, <= 11.0.26, >= 12.0.0, < 12.0.31, >= 12.1.0, < 12.1.5	12.0.31, 12.1.5

Odnośniki

Ocena CVSS 3.7/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:N
Słabość (CWE): CWE-20
Platforma: Java / Kotlin (Maven)
Paczka: org.eclipse.jetty:jetty-http
Ujawniono: 05.03.2026
Aktualizacja: 11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-wjpw-4j6x-6rwh - CC BY 4.0

Historia podatności: org.eclipse.jetty:jetty-http

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 07.2022 04.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 1
Średnia 2
Niska 2

Ujawnienia w latach

2022: 1
2023: 1
2024: 1
2025: 0
2026: 2

14.04.2026

Jetty has HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Wysoka · 7.4 CVE-2026-2332 >= 12.1.0, < 12.1.7, >= 12.0.0, < 12.0.33, >= 11.0.0, < 11.0.29, >= 10.0.0, < 10.0.28, >= 9.4.0, < 9.4.60 12.1.7, 12.0.33, 11.0.29, 10.0.28, 9.4.60
05.03.2026

org.eclipse.jetty:jetty-http has different parsing of invalid URIs ten wpis

Niska · 3.7 CVE-2025-11143 >= 9.4.0, <= 9.4.58, >= 10.0.0, <= 10.0.26, >= 11.0.0, <= 11.0.26, >= 12.0.0, < 12.0.31, >= 12.1.0, < 12.1.5 12.0.31, 12.1.5
14.10.2024

Eclipse Jetty URI parsing of invalid authority

Średnia · 3.7 CVE-2024-6763 >= 7.0.0, < 12.0.12 12.0.12
14.09.2023

Jetty accepts "+" prefixed value in Content-Length

Średnia · 5.3 CVE-2023-40167 >= 9.0.0, < 9.4.52, >= 10.0.0, < 10.0.16, >= 11.0.0, < 11.0.16, >= 12.0.0, < 12.0.1 9.4.52, 10.0.16, 11.0.16, 12.0.1
07.07.2022

Jetty invalid URI parsing may produce invalid HttpURI.authority

Niska · 2.7 CVE-2022-2047 < 9.4.47, >= 10.0.0, < 10.0.10, >= 11.0.0, < 11.0.10 9.4.47, 10.0.10, 11.0.10

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację