What is CVE-2026-49332?
A vulnerability in OpenShift OAuth-proxy involves improper handling of authenticated identity headers, where dash-variant keys (X-Forwarded-User) are set but underscore-variant keys (X_Forwarded_User) from incoming requests are not stripped. Since WSGI and PHP frameworks normalize both to the same variable, this can lead to authentication bypass. Mitigation requires filtering underscore headers in the proxy or adding framework-level checks.
Azərbaycanca: OpenShift OAuth-proxy-də aşkar edilmiş boşluq autentifikasiya başlıqlarının (headers) düzgün idarə olunmaması ilə bağlıdır. Proxy yalnız defisli açar variantını (X-Forwarded-User) təyin edir, lakin daxil olan sorğulardakı alt xətt variantını (X_Forwarded_User) silmir; WSGI/PHP framework-lər hər ikisini eyni dəyişənə normallaşdırdığı üçün autentifikasiyanın yan keçilməsinə səbəb ola bilər. Bu boşluğu aradan qaldırmaq üçün proxy konfiqurasiyasında alt xəttli başlıqların filterlənməsi və ya framework səviyyəsində əlavə yoxlamalar tətbiq edilməlidir.
Related CVEs
link basis: same weakness class CWE-287
FAQ1
What causes the CVE-2026-49332 vulnerability?
The vulnerability arises because the OpenShift OAuth-proxy fails to strip underscore-variant authentication headers (e.g., X_Forwarded_User) from incoming requests. While the proxy sets only the dash-variant (X-Forwarded-User), WSGI/PHP frameworks normalize both to the same variable, potentially enabling an authentication bypass.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.