CVE-2026-100725 in http4k
Résumé
par VulDB • 27/09/2026
http4k (artefact Maven org.http4k:http4k-core) antérieur aux versions 6.48.0.0, 5.42.0.0 et 4.51.0.0 intègre un BasicCookieStorage (magasin de cookies côté client utilisé par ClientFilters.Cookies) qui n'applique pas les règles d'étendue RFC 6265 pour les attributs domain, path et Secure des cookies. Lorsqu'une seule instance de BasicCookieStorage est utilisée pour communiquer avec plusieurs origines ou schémas, les cookies stockés pour une origine peuvent être envoyés à d'autres origines, et les cookies marqués comme Secure peuvent être transmis via HTTP non chiffré, risquant ainsi de divulguer des cookies de session ou d'autres valeurs sensibles à des hôtes non autorisés ou à des observateurs du réseau. Les clients qui utilisent une instance de stockage pour une seule origine ne sont pas affectés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.