CVE-2026-69205 in Http4s
Riassunto
di VulDB • 15/09/2026
Http4s è un'interfaccia Scala per i servizi HTTP. Prima delle versioni 0.23.35 e 1.0.0-M47, HeaderP.parse di Ember utilizza un test case-sensitive della sottostringa per il valore Transfer-Encoding e decodifica i byte dell'intestazione con la codifica predefinita della piattaforma. Valori come Chunked non vengono riconosciuti, valori come notchunked vengono accettati erroneamente e il folding del caso Unicode può trasformare una sequenza di byte Kelvin in un match quando viene utilizzato UTF-8. Gli intermediari che applicano le regole RFC-compliant per token e codifica caratteri possono quindi essere in disaccordo con Content-Length o la framing a lunghezza zero di Ember, consentendo TE.CL o request smuggling tramite TE.0, bypass del controllo degli accessi, hijacking delle richieste tra utenti diversi e cache poisoning sul percorso server. Il response smuggling attraverso un gateway ember-client richiede un upstream malevolo o compromesso. Questo problema è risolto nelle versioni 0.23.35 e 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.