Injeção de cabeçalho Host

A injeção de Host ocorre quando o código do servidor usa o cabeçalho Host — ou variantes de proxy como X-Forwarded-Host — para construir URLs absolutos (links de redefinição de senha, redirecionamentos, src de imagens, canónicos, callbacks OAuth) sem validar contra uma allow-list. O atacante manipula o cabeçalho para apontar os links a um domínio hostil, levando a envenenamento de redefinição de senha, envenenamento de cache, SSRF ou roteamento da resposta para um host do atacante. A falha é comum em configurações com reverse proxy e frameworks com várias entradas de Host. Mitigações: derivar URLs de um host confiável configurado, validar Host/X-Forwarded-Host contra allow-list, descartar cabeçalhos forwarded desconhecidos na borda e usar HSTS.