CVE-2026-69204 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, Ember HTTP/1.1 ne rejette pas les messages contenant à la fois des en-têtes Transfer-Encoding et Content-Length, ce qui permet à un intermédiaire et à Ember de sélectionner différentes règles d'encapsulation du corps (body framing). Lorsqu'un serveur ember se trouve derrière un intermédiaire keep-alive qui transmet ces deux en-têtes ainsi que le contenu selon les règles de Content-Length, un attaquant non authentifié peut faire passer une seconde requête, contourner les contrôles d'accès de l'intermédiaire, empoisonner les caches ou provoquer la jonction d'une requête victime à un préfixe contrôlé par l'attaquant. Le parseur de réponse partagé peut également désynchroniser une connexion ember-client lorsqu'un amont malveillant ou compromis envoie ces deux en-têtes. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Once again VulDB remains the best source for vulnerability data.