Vert.x 共享 CachingWebClient 可跨用戶洩漏快取回應

情報摘要

Eclipse Vert.x 公開共享 CachingWebClient 的回應隔離問題（CVE-2026-118489／GHSA-xh2g-9hw9-mvp3）。當多名用戶共用同一快取客戶端，而來源將用戶專屬回應標為可快取、未設 private 或 no-store 時，其他用戶甚至經同一客戶端的匿名呼叫可能收到先前用戶的回應。

公告涵蓋用戶專屬回應內容外洩；若被快取回應包含 Set-Cookie，還可能洩漏工作階段憑證，導致工作階段固定或劫持。這取決於回應內容，並非所有 Vert.x 使用方式都會觸發。

受影響產品

Maven 套件 io.vertx:vertx-web-client：4.0.0 至 4.5.35、5.0.0 至 5.2.2（均包括端點）；修補版本為 4.5.36、5.2.3。

適用讀者

使用 Vert.x Web Client，尤其跨用戶共享 CachingWebClient 的開發及維運團隊

建議行動

按使用分支升級至 4.5.36、5.2.3 或包含修補的較新版本。檢查跨用戶共享快取的使用方式，並檢視用戶專屬回應的快取限制；單靠每用戶 WebClientSession 不應視為已完成隔離。

風險評級依據

專案 GitHub 安全公告列 High、CVSS 3.1 7.5；NVD 收錄的 Eclipse CNA 評分亦為 7.5。這不是 NVD 自行分析所得評分。

解讀限制

觸發條件是同一 CachingWebClient 跨用戶共用，且來源回應可快取而缺少 private／no-store 限制；匿名取得回應也須經同一共用客戶端及相同 URL。

讀取時 GitHub 公告的 CVE 欄仍顯示 No known CVE；CVE 對應由 NVD 收錄的 Eclipse CNA 記錄及其同一 GHSA 參考連結確認。

已讀來源未確認此漏洞正在野外被利用；香港部署及實際受影響情況未能核實。

資料來源

• Vert.x：GHSA-xh2g-9hw9-mvp3 共享快取安全公告 ↗來源刊登：2026-11-03
• NVD：CVE-2026-118489（Eclipse CNA 記錄） ↗來源刊登：2026-11-03