CVE-2026-69211 in http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 schreibt ResponseCookie.name, content, domain, path und extension Werte, die vom Angreifer beeinflusst wurden, ohne Semikolons oder Steuerzeichen zu neutralisieren. Eine Anwendung, die ein ResponseCookie aus nicht validierten Eingaben erstellt, kann daher injizierte Cookie-Attribute wie Domain, Path oder SameSite emittieren, was den Cookie-Umfang erweitert oder Schutzmaßnahmen abschwächt; zudem können Steuerzeichen auf nachgiebigen Backends Header-Splitting ermöglichen. Der Patch entfernt Steuerzeichen aus allen fünf Feldern und entfernt Semikolons aus name, content, domain und path, während das Verhalten des Extension-Trennzeichens beibehalten wird. Dieses Problem ist in den Versionen 0.23.35 und 1.0.0-M47 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.