CVE-2026-69215 in Http4s
要約
〜によって VulDB • 2026年09月15日
Http4sはHTTPサービスのためのScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、CookieJarクライアントミドルウェアが保存されたクッキーの付与を判断する際に、RFC 6265のドメインおよびパスマッチングではなく、アンカーなしの部分文字列チェックを使用していました。その結果、同じjarを使用したアプリケーションが悪意のある攻撃者が影響を与えた外部通信を行う際、example.com用のクッキーがevilexample.comのような攻撃者制御ホスト名に送信される可能性があります。これによりセッションまたは認証用クッキーが漏洩し、アプリケーションの外部通信セッションのハイジャックを可能にするリスクがあります。この問題はバージョン0.23.35および1.0.0-M47で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.