CVE-2026-1002

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-1002
The Vert.x Web static handler component cache can be manipulated to deny the access to static files served by the handler using specifically crafted request URI. The issue comes from an improper implementation of the C. rule of section 5.2.4 of RFC3986 and is fixed in Vert.x Core component (used by Vert.x Web): https://github.com/eclipse-vertx/vert.x/pull/5895 Steps to reproduce Given a file served by the static handler, craft an URI that introduces a string like bar%2F..%2F after the last / char to deny the access to the URI with an HTTP 404 response. For example https://example.com/foo/index.html can be denied with https://example.com/foo/bar%2F..%2Findex.html Mitgation Disabling Static Handler cache fixes the issue. StaticHandler staticHandler = StaticHandler.create().setCachingEnabled(false);

5.3 /10

CVSS v3 : MEDIUM

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 1.4

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact NONE

Integrity Impact NONE

Availability Impact LOW

Scope UNCHANGED

References
Link Resource
https://github.com/eclipse-vertx/vert.x/pull/5895 Issue Tracking Patch
https://github.com/vert-x3/vertx-web/issues/2836 Exploit
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:eclipse:vert.x-web:*:*:*:*:*:*:*:*
cpe:2.3:a:eclipse:vert.x-web:*:*:*:*:*:*:*:*
History

17 Jun 2026, 10:14

Type Values Removed Values Added
Summary
  • (es) La caché del componente de gestión de archivos estáticos de Vert.x Web puede manipularse para denegar el acceso a los archivos estáticos servidos por el gestor mediante una URI de solicitud diseñada específicamente. El problema se debe a una implementación incorrecta de la regla C. de la sección 5.2.4 del RFC 3986 y se ha corregido en el componente Vert.x Core (utilizado por Vert.x Web): https://github.com/eclipse-vertx/vert.x/pull/5895 Pasos para reproducir el problema: dado un archivo servido por el controlador estático, cree una URI que introduzca una cadena como bar%2F..%2F después del último carácter / para denegar el acceso a la URI con una respuesta HTTP 404. Por ejemplo, https://example.com/foo/index.html puede denegarse con https://example.com/foo/bar%2F..%2Findex.html. Solución: Desactivar la caché del Static Handler soluciona el problema. StaticHandler staticHandler = StaticHandler.create().setCachingEnabled(false);

05 Feb 2026, 16:50

Type Values Removed Values Added
CVSS v2 : unknown
v3 : 7.5 		v2 : unknown
v3 : 5.3

30 Jan 2026, 19:41

Type Values Removed Values Added
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 7.5
First Time Eclipse
Eclipse vert.x-web
CPE cpe:2.3:a:eclipse:vert.x-web:*:*:*:*:*:*:*:*
References () https://github.com/eclipse-vertx/vert.x/pull/5895 - () https://github.com/eclipse-vertx/vert.x/pull/5895 - Issue Tracking, Patch
References () https://github.com/vert-x3/vertx-web/issues/2836 - () https://github.com/vert-x3/vertx-web/issues/2836 - Exploit

15 Jan 2026, 22:16

Type Values Removed Values Added
References
  • () https://github.com/vert-x3/vertx-web/issues/2836 -

15 Jan 2026, 21:16

Type Values Removed Values Added
New CVE
Information

Published : 2026-01-15 21:16

Updated : 2026-06-17 10:14

NVD link : CVE-2026-1002

Mitre link : CVE-2026-1002

CVE.ORG link : CVE-2026-1002

JSON object : View

Products Affected

eclipse

  • vert.x-web
CWE
CWE-444

Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')