CVE-2026-69215 in Http4s
الملخص
بحسب VulDB • 16/09/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و1.0.0-M47، كانت وسيطة العميل CookieJar تستخدم فحوصات بادئة غير مؤنصّة (unanchored substring checks) بدلاً من مطابقة النطاق والمسار وفقاً لمعيار RFC 6265 عند اتخاذ قرار إرفاق ملف تعريف ارتباط مخزن. ونتيجة لذلك، يمكن إرسال ملف تعريف الارتباط الخاص بـ example.com إلى اسم مضيف يتحكم فيه المهاجم مثل evilexample.com عندما يقوم تطبيق يستخدم نفس المكتبة بإجراء طلبات خارجية تتأثر بمهاجم. وهذا يعرّض ملفات تعريف الارتباط الخاصة بالجلسة أو المصادقة للخطر ويمكن أن يمكّن من اختطاف جلسات التطبيق الخارجية. تم إصلاح هذه المشكلة في الإصدارين 0.23.35 و1.0.0-M47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.