CVE-2026-73511

Envoy bulud yerli tətbiqlər üçün nəzərdə tutulmuş açıq mənbəli kənar və servis proksisidir. 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarından əvvəl Envoy adətən sorğu yolunu olduğu kimi uyğunlaşdırır, lakin Apache Tomcat kimi servlet backend-ləri resursu müəyyənləşdirməzdən əvvəl hər bir yol seqmentindən nöqtəli vergül ilə ayrılmış matris parametrlərini silir. Envoy-un ignore_path_parameters_in_path_matching seçimi isə yolu ilk nöqtəli vergüldən kəsir və yenə də backend-in seqment üzrə davranışına uyğun gəlmir. Uzaqdan qoşulan klient, Envoy-un qorunmayan ehtiyat variantı (fallback) seçməsini təmin etmək üçün parametrləşdirilmiş qorunan seqmentdən və ya daha əvvəlki seqmentdəki parametrdən istifadə edə bilər, halbuki backend qorunan resursu müəyyənləşdirir. Müvafiq əhatə dairəsi ondan ibarətdir ki, bu yan keçmə həm yola əsaslanan Envoy qərarını, həm də nöqtəli vergül parametrlərini hər seqment üzrə silən backend-i tələb edir. Bu problem 1.36.10, 1.37.6, 1.38.4 və 1.39.1 versiyalarında düzəldilib.