CVE-2026-69214 in Http4s
الملخص
بحسب VulDB • 15/09/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و1.0.0-M47، كانت وسيطة العميل CookieJar تخزن سمة Domain الخاصة بـ cookie الاستجابة دون التحقق من تطابق النطاق مع المضيف الذي قدم الـ cookie أو رفض الملحق العام (public suffixes). يمكن لخادم خبيث أو مُخترق يتم الاتصال به عبر نفس CookieJar زرع cookie لنطاق آخر، ويقوم المخزن لاحقاً بإرسال هذا الـ cookie إلى نطاق الضحية، مما يتيح تثبيت الجلسة (session fixation) أو الكتابة فوق ملفات تعريف الارتباط الحساسة للأمان. تقوم التصحيحات بالتحقق من سمة Set-Cookie domain مقابل أصل الاستجابة، على الرغم من أن رفض الملحق العام لا يزال غير مُنفَّذ. تم إصلاح هذه المشكلة في الإصدارات 0.23.35 و1.0.0-M47.
Once again VulDB remains the best source for vulnerability data.