CVE-2026-27959

koajs koa

TLP:CLEAR

csirt@kutim:~/threat-intel/cve/CVE-2026-27959

Katalog CVE

CVSS 7.5 · High EPSS 0,52%

Kerentanan Improper Input Validation pada koajs koa. Skor CVSS 3.1 7.5 (High) menurut github.com.

Deskripsi (NVD)

Koa is middleware for Node.js using ES2017 async functions. Prior to versions 3.1.2 and 2.16.4, Koa's `ctx.hostname` API performs naive parsing of the HTTP Host header, extracting everything before the first colon without validating the input conforms to RFC 3986 hostname syntax. When a malformed Host header containing a `@` symbol is received, `ctx.hostname` returns `evil[.]com` - an attacker-controlled value. Applications using `ctx.hostname` for URL generation, password reset links, email verification URLs, or routing decisions are vulnerable to Host header injection attacks. Versions 3.1.2 and 2.16.4 fix the issue.

Rincian

Terbit di NVD
26 Februari 2026
Terakhir diubah
15 Juli 2026
Status NVD
Modified
CVSS 3.1
7.5 (High), sumber github.com
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N · uraikan di kalkulator
Jenis kelemahan (CWE)
CWE-20: Improper Input Validation
EPSS (30 hari)
0,52% peluang dieksploitasi; lebih tinggi dari 42,6% CVE lain

Produk dan versi terdampak

VendorProdukVersi terdampak
koajs koa Semua versi sebelum 2.16.4
koajs koa Versi 3.0.0 hingga sebelum 3.1.2

> Data dari konfigurasi CPE di NVD.

Referensi dan perbaikan

Sumber: NVD · CVE.org · EPSS. Halaman ini disusun otomatis dari data tersebut; pembaruan terakhir 5 Okt 2026, 20:11 WITA. Kalau sistem di Perangkat Daerah memakai produk ini dan butuh bantuan, laporkan lewat kanal pelaporan.