CVE-2026-69216 in Http4s
Resumen
por VulDB • 2026-09-15
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, el decodificador de fragmentos (chunk decoder) de Ember recortaba el token del tamaño del fragmento y aceptaba signos más o menos iniciales en lugar de requerir uno o más dígitos hexadecimales seguidos por CRLF obligatorio. Cuando un intermediario reenvía datos con chunking sin volver a codificarlos e interpreta los límites de fragmento malformados de manera diferente, un atacante no autenticado puede crear TE.TE request smuggling que elude los controles del intermediario, envenena las cachés o secuestra la cola de solicitudes. La misma tolerancia en la ruta de respuesta puede permitir response smuggling contra un ember-client utilizado como puerta de enlace cuando el servidor upstream es malicioso o está comprometido. Este problema se soluciona en las versiones 0.23.35 y 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.