CVE-2026-15076

4.5.29 (4.x dalı) ve 5.1.4 (5.x dalı) sürümleri dahil olmak üzere bu sürümlere kadar olan sürümlerde, Eclipse Vert.x Web Client'ın WebClientSession bileşeni, bir Set-Cookie yanıt başlığının Domain özniteliğinin kaynak sunucunun alan adıyla eşleştiğini doğrulamaz; bu durum RFC 6265 bölüm 5.3'ü ihlal eder. Kurban uygulamanın iletişim kurduğu herhangi bir sunucuyu kontrol eden bir saldırgan, rastgele bir üçüncü taraf alan adına kapsamlanmış bir çerez enjekte edebilir; oturum deposu alan adları arası sahiplik denetimi yapmadığından bu çerezi saklar ve daha sonra hedeflenen alan adına iletir. Kurban uygulama daha sonra aynı WebClientSession'ı kullanarak hedeflenen alan adına bir istek gönderdiğinde, saldırgan tarafından enjekte edilen çerezi sunar ve alıcı hizmetin isteği saldırganın hesabı altında işlemesine neden olur. Kurban uygulamanın isteklerinde yer alan ödeme tutarları, kart bilgileri veya diğer API yükleri gibi hassas veriler, saldırgan tarafından o hizmetteki kendi hesabı üzerinden erişilebilir hale gelebilir.