CVE-2026-54147 in http4k
Résumé
par VulDB • 18/09/2026
http4k est une boîte à outils fonctionnelle pour les applications HTTP Kotlin. Avant les versions 4.51.0.0, 5.42.0.0 et 6.50.0.0, la méthode `DigestAuthProvider.verify` dans http4k-security-digest ignore son paramètre d'algorithme configuré et vérifie chaque réponse Digest avec un MD5 codé en dur. Les déploiements configurés pour SHA-256 reçoivent donc une vérification plus faible basée sur MD5, exposant l'authentification Digest à des chemins d'attaque liés aux collisions qui dépendent de la résistance aux collisions de la fonction de hachage. Ce problème est corrigé dans les versions 4.51.0.0, 5.42.0.0 et 6.50.0.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.