CVE-2026-69201 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, ResourceService et WebjarService décodent chaque segment de chemin d'URL mais ne rejettent que les segments strictement égaux à une chaîne vide, un point ou deux points. Une requête contenant des séparateurs slash (/) ou backslash (\) encodés en pourcentage peut transformer un segment accepté en traversée de répertoire parent après décodage, permettant l'accès aux ressources du classpath ou WebJar situées hors de la base configurée lorsque le classpath est basé sur un système de fichiers et que le backend conserve le séparateur encodé. Le correctif rejette les segments décodés contenant des slash (/) ou backslash (\) dans ResourceService et WebjarService, et applique la même protection à FileService (qui n'est pas exploitable) pour assurer la cohérence. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.