CVE-2026-69217 in http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, l'analyseur HTTP/1.1 d'Ember accepte des en-têtes Content-Length dupliqués avec des valeurs différentes et utilise la dernière valeur au lieu de rejeter le message. Lorsqu'un serveur Ember se trouve derrière un intermédiaire keep-alive qui sélectionne une occurrence différente, un attaquant non authentifié peut créer une requête CL.CL (request smuggling) contournant les contrôles frontaux, capturer les en-têtes d'un utilisateur ultérieur ou empoisonner un cache. L'analyseur client partagé peut également mal formater les réponses provenant d'une source amont malveillante ou compromise lorsque le client agit comme proxy pour plusieurs consommateurs aval. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.