Skip to content
OpenAdvisories
Medium WID-SEC-2026-2314 5 CVEs

Eclipse Jetty: Mehrere Schwachstellen

Published Jul 13, 2026 · Updated Oct 21, 2026 · Revision 18 · de-DE

Vendor: Eclipse Foundation Vendor: IBM Vendor: Red Hat Vendor: SUSE Product: App Connect Enterprise Product: Enterprise Linux Product: Jetty Product: Linux Product: Operational Decision Manager Product: SPSS Product: Storage Scale Product: Tivoli Netcool/OMNIbus Product: Tivoli Network Manager Platform: Windows

Summary

Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Eclipse Jetty ausnutzen, um einen Denial of Service Angriff durchzuführen, Sicherheitsmaßnahmen zu umgehen und vertrauliche Informationen offenzulegen.

Product

Eclipse Jetty ist ein Java-HTTP-Server und Java-Servlet-Container.

Vulnerabilities 5

  • High 8.7
    CVE-2026-10050

    Digest authentication lossy encoding

    In Eclipse Jetty, the Digest authentication server-side component uses ISO-8859-1 to encode the password as bytes. This was done because the initial specification for HTTP did not specify explicitly a charset, and it was assumed to be ISO-8859-1 for historica…

    Eclipse Foundation Eclipse Jetty Eclipse Jetty - EE8 Eclipse Jetty - EE9 Debian Ubuntu Wolfi Maven
  • High 7.5
    CVE-2024-7708

    Eclipse Jetty: DoS attack triggering OutOfMemory with 100-Continue requests

    For requests that have a body, but reading the body may end up in reading 0 bytes, there is a buffer leak. This is particularly the case for 100-Continue, but any request where the network is slow can leak.

    Eclipse Foundation Eclipse Jetty jetty9 jetty9 Debian Ubuntu Maven
  • Medium 6.9
    CVE-2026-10051

    Eclipse Jetty: Cross-Request Leakage for trailers on HTTP/1.1 keep-alive connections

    In Eclipse Jetty, a first HTTP/1.1 request with trailers causes the server to retain the trailers in subsequent requests performed over the same connection. Subsequent request that do not have trailers report the trailers of the first request. Subsequent requ…

    Eclipse Foundation Eclipse Jetty druid trino Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-6790

    Eclipse Jetty: HTTP Authority/Host mismatch

    In Eclipse Jetty, for HTTP/1, HTTP/2 and HTTP/3 requests, there is no strict check that the request authority (host and port) matches what provided in the Host header (if present). This was not enforced in earlier HTTP RFC (for example, in RFC 2616), but it i…

    Eclipse Foundation Eclipse Jetty druid tez Debian Ubuntu Wolfi Maven
  • Medium 5.3
    CVE-2026-8384

    Eclipse Jetty: Path parameter traversal

    In Eclipse Jetty, an HTTP URI of this form: /public;/../admin/secret.txt results in an unresolved path of: /public/../admin/secret.txt instead of the expected: /admin/secret.txt Jetty itself is not affected, as it will not serve the secret.txt file because it…

    Eclipse Foundation Eclipse Jetty druid trino Debian Ubuntu Wolfi Maven

Revision history

  1. #18

    Neue Updates von Red Hat aufgenommen

  2. #17

    Neue Updates von Red Hat aufgenommen

  3. #16

    Neue Updates von IBM aufgenommen

  4. #15

    Neue Updates von IBM aufgenommen

  5. #14

    Neue Updates von IBM aufgenommen

  6. #13

    Neue Updates von IBM aufgenommen

  7. #12

    Neue Updates von Red Hat aufgenommen

  8. #11

    Neue Updates von IBM aufgenommen

  9. #10

    Neue Updates von Red Hat aufgenommen

  10. #9

    Neue Updates von IBM aufgenommen

  11. #8

    Neue Updates von Red Hat aufgenommen

  12. #7

    Neue Updates von IBM aufgenommen

  13. #6

    Neue Updates von Red Hat aufgenommen

  14. #5

    Neue Updates von SUSE aufgenommen

  15. #4

    Neue Updates von IBM und Red Hat aufgenommen

  16. #3

    Referenz(en) aufgenommen: EUVD-2026-52656

  17. #2

    Referenz(en) aufgenommen: EUVD-2024-55651, EUVD-2026-43647, EUVD-2026-43646, EUVD-2026-43645

  18. #1

    Initiale Fassung

References