CVE-2026-69211 in http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, la méthode ResponseCookie.render écrit des valeurs de nom, contenu, domaine, chemin et extension influencées par l'attaquant sans neutraliser les points-virgules ou les caractères de contrôle. Une application qui construit un objet ResponseCookie à partir d'une entrée non validée peut donc émettre des attributs de cookie injectés tels que Domain (Domaine), Path (Chemin) ou SameSite, élargissant ainsi la portée du cookie ou affaiblissant les protections ; par ailleurs, les caractères de contrôle peuvent permettre le fractionnement des en-têtes sur des backends permissifs. Le correctif supprime les caractères de contrôle de ces cinq champs et retire les points-virgules des champs nom, contenu, domaine et chemin, tout en conservant le comportement du délimiteur d'extension. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.