CVE-2020-5280 in http4s
Riassunto
di VulDB • 19/06/2026
http4s prima delle versioni 0.18.26, 0.20.20 e 0.21.2 presenta una vulnerabilità di inclusione locale di file (Local File Inclusion). Questa vulnerabilità interessa tutti gli utenti di org.http4s.server.staticcontent.FileService, org.http4s.server.staticcontent.ResourceService e org.http4s.server.staticcontent.WebjarService. La normalizzazione degli URI viene applicata in modo errato. Le richieste il cui path info contiene ../ o // possono esporre risorse al di fuori della posizione configurata. Questo problema è stato risolto nelle versioni 0.18.26, 0.20.20 e 0.21.2. Si noti che la versione 0.19.0 è una release deprecata e non è mai stata supportata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.