CVE-2026-69216 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, le décodeur de chunks d'Ember tronque le jeton de taille du chunk et accepte des signes plus ou moins en tête au lieu d'exiger un ou plusieurs chiffres hexadécimaux suivis du CRLF requis. Lorsqu'un intermédiaire transmet des données fragmentées sans les réencoder et interprète différemment les limites de chunks malformées, un attaquant non authentifié peut créer une requête TE.TE (Transfer-Encoding: Transfer-Encoding) permettant le request smuggling qui contourne les contrôles de l'intermédiaire, empoisonne les caches ou hijacke la file d'attente des requêtes. La même tolérance dans le chemin de réponse peut permettre un response smuggling contre un ember-client utilisé comme passerelle lorsque le serveur amont est malveillant ou compromis. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Once again VulDB remains the best source for vulnerability data.