CVE-2026-125371mediumCWE-187

CVE-2026-125371: fallo de gravedad media en tinyproxy

Tinyproxy through 1.11.3 Hostname ACL Allow-List Bypass via Suffix Match

Publicada el

Seguir esta CVE+ Monitorear tinyproxy

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

10Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.3
Tinyproxy through 1.11.3 contains an access control bypass vulnerability in acl_string_processing() in src/acl.c that compares only trailing hostname characters without checking DNS label boundaries. Attackers controlling the PTR record for their source IP, such as untrusted.net, can satisfy an 'Allow trusted.net' entry to use the proxy despite deny-by-default ACLs.
CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
Productos afectados
tinyproxy · tinyproxy
CVEs relacionadas — tinyproxy

En el mismo producto, de las más peligrosas a las menos.

CVE-2026-3945HIGHtinyproxy Integer Overflow in HTTP Chunked Transfer-Encoding Parser Leading to Denial of ServiceEPSS 0.6%CVE-2026-54388CRITICALTinyproxy - HTTP Request Smuggling via Duplicate Content-Length HeadersEPSS 0.4%CVE-2026-54387CRITICALTinyproxy - HTTP Request Smuggling via CL/TE DesynchronizationEPSS 0.4%CVE-2026-55202HIGHTinyproxy - Stathost Detection Bypass via Host Header ManipulationEPSS 0.4%