CVE-2026-69211 in http4s
Resumen
por VulDB • 2026-09-17
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, ResponseCookie.render escribía valores influenciados por el atacante (nombre, contenido, dominio, ruta y extensión) sin neutralizar los puntos y comas ni los caracteres de control. Por lo tanto, una aplicación que construye un objeto ResponseCookie a partir de datos no validados puede emitir atributos de cookie inyectados como Domain, Path o SameSite, ampliando el alcance de la cookie o debilitando las protecciones; además, los caracteres de control pueden permitir la división de encabezados (header splitting) en backends permisivos. El parche elimina los caracteres de control de todos los cinco campos y quita los puntos y comas de nombre, contenido, dominio y ruta, manteniendo el comportamiento del separador de extensión. Este problema está corregido en las versiones 0.23.35 y 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.