CVE catalog

CVE-2026-71190

In OpenStack Swift through 2.38.0, the proxy server Accept header parser contains a regular expression vulnerable to catastrophic backtracking (ReDoS). The "qdtext" pattern (?:[^"]|\\.)* allows an una

[CVE catalog]

Severity
High · CVSS 8.7CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Published
Source
[NVD] · [CVE record]
EPSS
0.84% · Oct 25, 2026

In OpenStack Swift through 2.38.0, the proxy server Accept header parser contains a regular expression vulnerable to catastrophic backtracking (ReDoS). The "qdtext" pattern (?:[^"]|\\.)* allows an unauthenticated remote attacker to send a crafted Accept header that causes exponential CPU consumption in the proxy worker. A payload of 32 backslash-character pairs exceeds 30 seconds of CPU time. No authentication is required. Repeated requests can exhaust all proxy worker threads, resulting in a complete denial of service.

Vulnerable and fixed packages

Distribution-reported package versions and fixes. These do not depend on matching against the OpenFactory package catalog.

DistributionPackageReleaseVersionStatus
Debianswiftsid2.38.2-3fixed
Debianswiftforky2.38.2-3fixed
Debianswifttrixie2.35.1-0+deb13u3vulnerable
Debianswifttrixie-security2.35.1-0+deb13u4vulnerable
Debianswiftbookworm2.30.1-0+deb12u1vulnerable
Debianswiftbookworm-security2.30.1-0+deb12u3fixed

Fixed-version evidence

DistributionPackageTypeReleaseFixed versionUrgencyOriginBugs
Debianswiftsourcesid2.37.1-6not yet assignedNot reported[1142973]
Debianswiftsourceforky2.37.1-6not yet assignedNot reported[1142973]
Debianswiftsourcetrixie(unfixed)not yet assignedNot reported[1142973]
Debianswiftsourcebookworm2.30.1-0+deb12u2not yet assignedNot reported[1142973]

[Debian bug #1142973]

Notes

[trixie] swift: Minor issue

OpenFactory catalog packages

[Debian 12 (Bookworm)]

  • [python3-swift]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift]Affected
    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-account]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-container]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-doc]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-drive-audit]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-object]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-object-expirer]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

  • [swift-proxy]Affected

    Source package: [swift]

    Details (4)

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u1 · all · bookworm

      Affected · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

    • 2.30.1-0+deb12u2 · all · bookworm-security

      Fixed · Fixed: 2.30.1-0+deb12u2

      nvd · swift · debian · bookworm; nvd · swift · debian · 12

[Debian 13 (Trixie)]

  • [python3-swift]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift]Affected
    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-account]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-container]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-doc]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-drive-audit]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-object]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-object-expirer]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

  • [swift-proxy]Affected

    Source package: [swift]

    Details (6)

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u2 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u3 · all · trixie-security · Historical version

      Affected

      nvd · swift · debian · 13

    • 2.35.1-0+deb13u4 · all · trixie-security

      Affected

      nvd · swift · debian · 13

Observed:

References

[Debian Security Tracker] · [FIRST EPSS] · [National Vulnerability Database (NVD)] · [OSV Package Vulnerability Database] · [Red Hat security advisories and VEX]