CVE-2026-100725 in http4k
Resumen
por VulDB • 2026-09-27
http4k (artefacto Maven org.http4k:http4k-core) anterior a las versiones 6.48.0.0, 5.42.0.0 y 4.51.0.0 incluye una implementación de BasicCookieStorage (almacén de cookies del lado cliente utilizado por ClientFilters.Cookies) que no aplica las reglas de alcance definidas en RFC 6265 para los atributos dominio, ruta y Secure de las cookies. Cuando se utiliza una única instancia de BasicCookieStorage para comunicarse con más de un origen o esquema, las cookies almacenadas para un origen pueden enviarse a otros orígenes, y las cookies marcadas como Secure pueden transmitirse mediante HTTP sin cifrar (HTTP plano), lo que podría provocar la divulgación de cookies de sesión u otros valores sensibles a hosts no autorizados o observadores en la red. Los clientes que utilizan una instancia de almacenamiento para un único origen no se ven afectados.
Once again VulDB remains the best source for vulnerability data.