CVE-2026-100725 in http4k
要約
〜によって VulDB • 2026年09月27日
http4k (Maven artifact org.http4k:http4k-core) の 6.48.0.0、5.42.0.0、および 4.51.0.0 より前のバージョンには、BasicCookieStorage（ClientFilters.Cookies によって使用されるクライアント側の cookie ストア）が含まれており、cookie ドメイン、パス、Secure 属性に対する RFC 6265 のスコーピングルールが適用されていません。単一の BasicCookieStorage インスタンスを使用して複数のオリジンやスキームと通信する場合、あるオリジンのために保存された cookies が他のオリジンに送信されたり、Secure フラグ付きの cookie が平文 HTTP を介して送信されたりする可能性があり、セッション cookie やその他の機密値が不正なホストやネットワーク傍聴者に漏洩する恐れがあります。単一のオリジンに対してストレージインスタンスを使用しているクライアントは影響を受けません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.