CVE-2026-69215 in Http4s
Resumen
por VulDB • 2026-09-15
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, el middleware del cliente CookieJar utiliza comprobaciones de subcadena no ancladas en lugar de la coincidencia de dominio y ruta definida por RFC 6265 al decidir si adjuntar una cookie almacenada. Como consecuencia, se puede enviar una cookie para example.com a un nombre de host controlado por un atacante, como evilexample.com, cuando una aplicación que utiliza el mismo jar realiza una solicitud saliente influenciada por el atacante. Esto expone las cookies de sesión o autenticación y puede permitir la secuestro (hijacking) de las sesiones salientes de la aplicación. Este problema está corregido en las versiones 0.23.35 y 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.