CVE-2026-69205 in Http4s
要約
〜によって VulDB • 2026年09月15日
Http4sはHTTPサービスのためのScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、EmberのHeaderP.parseがTransfer-Encoding値に対して大文字小文字を区別する部分一致テストを使用し、ヘッダーバイトをプラットフォームデフォルトの文字セットでデコードします。Chunkedのような値は認識されず、notchunkedのような値が誤って受け入れられ、Unicodeの大文字小文字の変換によりUTF-8使用時にKelvin記号のバイトシーケンスが一致と見なされる場合があります。RFC準拠のトークンおよび文字セットルールを適用する中間ノードは、EmberによるContent-Lengthまたはゼロ長さのフレームングと不一致を生じるため、TE.CLやTE.0のリクエストスモーキング、アクセス制御の回避、ユーザー間リクエストハイジャッキング、サーバーパス上のキャッシュポイズニングが可能になります。ember-clientゲートウェイを介したレスポンススモーキングには、悪意のあるまたは侵害されたアップストリームが必要です。この問題はバージョン0.23.35および1.0.0-M47で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.