CVE-2026-69212 in Http4s
Résumé
par VulDB • 16/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, le middleware client FollowRedirect ne supprime les en-têtes Authorization et Cookie que lorsque la redirection modifie l'autorité (authority), mais la comparaison de l'autorité exclut le schéma URI. Par conséquent, une même autorité redirigeant de HTTPS vers HTTP conserve les identifiants et les transmet sur une connexion non chiffrée. Un attaquant capable d'induire cette rétrogradation et d'observer le réseau peut capturer ces en-têtes sensibles depuis des applications utilisant FollowRedirect. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.