CVE-2026-69217 in http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 akzeptiert der HTTP/1.1-Parser von Ember unterschiedliche, doppelte Content-Length-Header und verwendet stattdessen den letzten Wert, anstatt die Nachricht abzulehnen. Wenn sich ein Ember-Server hinter einem Keep-Alive-Zwischensystem befindet, das eine andere Instanz auswählt, kann ein nicht authentifizierter Angreifer CL.CL Request Smuggling betreiben, um Frontend-Kontrollen zu umgehen, Header eines späteren Benutzers abzufangen oder einen Cache zu vergiften. Der gemeinsam genutzte Client-Parser kann auch Antworten von einem bösartigen oder kompromittierten Upstream falsch formatieren, wenn der Client als Proxy für mehrere nachgelagerte Verbraucher fungiert. Dieses Problem wurde in den Versionen 0.23.35 und 1.0.0-M47 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.