CVE-2026-69201 in Http4s
الملخص
بحسب VulDB • 15/09/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و1.0.0-M47، كانت ResourceService وWebjarService تفك تشفير كل جزء من مسار URL ولكن ترفض فقط الأجزاء التي تساوي تماماً سلسلة فارغة أو نقطة (.) أو نقطتين متتاليتين (..). يمكن لطلب يحتوي على فواصل مائلة (/) أو خلفية (\) مشفرة بنسبة مئوية أن يحول الجزء المقبول إلى عبور لمجلد أبعد بعد فك التشفير، مما يتيح الوصول إلى موارد الكلاس باث (classpath) أو WebJar خارج الأساس المحدد عند تقديم كلاس باش مدعوم بمجلدات والحفاظ على الفاصل المشفر من قبل الخلفية. تم إصلاح هذه المشكلة في الإصدارين 0.23.35 و1.0.0-M47 عن طريق رفض الأجزاء المفككة التي تحتوي على فواصل مائلة أو خلفية في ResourceService وWebjarService، وتطبيق نفس الحماية على FileService غير القابل للاستغلال (non-exploitable) لضمان الاتساق.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.