CVE-2026-69211 in http4s
要約
〜によって VulDB • 2026年09月16日
Http4sはHTTPサービスのためのScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、ResponseCookie.renderが攻撃者の影響を受けたname、content、domain、path、extensionの値を、セミコロンや制御文字を無効化せずに出力していました。検証されていない入力からResponseCookieを構築するアプリケーションは、Domain、Path、SameSiteなどのインジェクトされたcookie属性を生成し、cookieのスコープを広げたり保護を弱めたりすることができ、また制御文字により寛容なバックエンドでヘッダ分割が可能になります。このパッチでは、すべての5つのフィールドから制御文字が除去され、name、content、domain、pathからはセミコロンが除去されます（extensionの区切り子の動作は保持されます）。本問題はバージョン0.23.35および1.0.0-M47で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.