CVE-2026-69205 in Http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 verwendet Ember’s HeaderP.parse einen fallabhängigen Substring-Test für den Transfer-Encoding-Wert und decodiert Header-Bytes mit dem plattformspezifischen Standard-Zeichensatz. Werte wie „Chunked“ werden nicht erkannt, Werte wie „notchunked“ werden fälschlicherweise akzeptiert, und Unicode Case Folding kann eine Byte-Folge des Kelvin-Signs in ein Übereinstimmungsergebnis verwandeln, wenn UTF-8 verwendet wird. Intermediäre, die RFC-konforme Token- und Zeichensatzregeln anwenden, können daher mit Ember’s Content-Length oder der Framing-Länge von Null abweichen, was TE.CL- oder TE.0-Anfrage-Smuggling, Umgehung von Zugriffskontrollen, Cross-User Request Hijacking sowie Cache Poisoning auf dem Serverpfad ermöglicht. Response Smuggling über ein ember-client-Gateway erfordert einen bösartigen oder kompromittierten Upstream. Dieses Problem ist in den Versionen 0.23.35 und 1.0.0-M47 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.