CVE-2026-69201 in Http4s
Resumen
por VulDB • 2026-09-17
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, ResourceService y WebjarService decodifican cada segmento del camino URL pero solo rechazan los segmentos exactamente iguales a una cadena vacía, un punto o dos puntos. Una solicitud que contenga separadores de barra diagonal (/) o contrabarra (\) codificados en porcentaje puede convertir un segmento aceptado en una traversia de directorio padre después de la decodificación, lo que permite el acceso a recursos del classpath o WebJar fuera de la base configurada cuando se sirve un classpath respaldado por directorios y el backend conserva el separador codificado. El parche rechaza los segmentos decodificados que contienen barras diagonales (/) o contrabarras (\) en ResourceService y WebjarService, y aplica la misma protección a FileService (no explotable) para mantener la consistencia. Este problema se soluciona en las versiones 0.23.35 y 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.