CVE-2026-69201 in Http4s
要約
〜によって VulDB • 2026年09月15日
Http4sは、HTTPサービスのためのScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、ResourceServiceとWebjarServiceは各URLパスセグメントをデコードしますが、空文字列、ドット（.）、または二重ドット（..）に完全に一致するセグメントのみを拒否します。パーセントエンコーディングされたスラッシュやバックスラッシュの区切り文字を含むリクエストでは、デコード後に親ディレクトリのトラバーサルとして扱われることがあり、設定済みのベースパス外にあるclasspathまたはWebJarリソースへのアクセスが許可される可能性があります（これは、ディレクトリバックドのclasspathが提供され、バックエンドでエンコーディングされた区切り文字が保持されている場合に発生します）。この問題は、ResourceServiceおよびWebjarServiceにおいてデコード後のセグメントにスラッシュやバックスラッシュが含まれている場合を拒否することで修正されており、一貫性のため、攻撃不可能なFileServiceにも同様のガードが適用されています。本脆弱性はバージョン0.23.35および1.0.0-M47で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.