CVE-2026-69212 in Http4s
Riassunto
di VulDB • 15/09/2026
Http4s è un'interfaccia Scala per i servizi HTTP. Prima delle versioni 0.23.35 e 1.0.0-M47, il middleware client FollowRedirect rimuove le intestazioni Authorization e Cookie solo quando una redirect cambia l'autorità (authority), ma il confronto dell'autorità esclude lo schema URI. Una redirect verso la stessa autorità da HTTPS a HTTP preserva quindi le credenziali e le trasmette su una connessione in chiaro. Un attaccante che può indurre un downgrade e osservare la rete può catturare queste intestazioni sensibili dalle applicazioni che utilizzano FollowRedirect. Questo problema è risolto nelle versioni 0.23.35 e 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.