CVE-2026-69214 in Http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 speichert die CookieJar-Client-Middleware das Domain-Attribut eines Antwort-Cookies, ohne zu prüfen, ob es mit dem Host übereinstimmt, der das Cookie gesendet hat, oder um öffentliche Suffixe (public suffixes) abzulehnen. Ein bösartiger oder kompromittierter Server, der über dieselbe CookieJar kontaktiert wird, kann ein Cookie für eine andere Domain platzieren; die Jar sendet dieses Cookie später an die Opfer-Domain und ermöglicht so Session Fixation oder das Überschreiben sicherheitsrelevanter Cookies. Der Patch validiert das Set-Cookie-Domain-Attribut gegen den Ursprung der Antwort, obwohl die Ablehnung öffentlicher Suffixe weiterhin nicht implementiert ist. Dieses Problem wurde in den Versionen 0.23.35 und 1.0.0-M47 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.