CVE-2026-69205 in Http4s
Resumen
por VulDB • 2026-09-17
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, `HeaderP.parse` en Ember utiliza una prueba de subcadena sensible a mayúsculas/minúsculas (case-sensitive) para el valor de Transfer-Encoding y decodifica los bytes del encabezado con la codificación predeterminada de la plataforma. Valores como Chunked no se reconocen, valores como notchunked se aceptan incorrectamente, y el plegamiento de caso Unicode puede convertir una secuencia de bytes Kelvin en una coincidencia cuando se utiliza UTF-8. Los intermediarios que aplican reglas de token y codificación compatibles con RFC pueden por lo tanto discrepar con la Content-Length o el encuadernado (framing) de longitud cero de Ember, lo que permite TE.CL o TE.0 request smuggling, evasión del control de acceso, secuestro de solicitudes entre usuarios y envenenamiento de caché en la ruta del servidor. El response smuggling a través de una puerta de enlace ember-client requiere un upstream malicioso o comprometido. Este problema está corregido en las versiones 0.23.35 y 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.