CVE-2026-69217 in http4s
要約
〜によって VulDB • 2026年09月15日
Http4sは、HTTPサービス用のScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、EmberのHTTP/1.1パーサーが重複するContent-Lengthヘッダーを受け入れ、メッセージを拒否するのではなく最後の値を使用します。Keep-aliveインターマディエータの背後にあるEmberサーバーにおいて、そのインターマディエータが異なる発生箇所を選択する場合、認証されていない攻撃者はCL.CLリクエストスモーキングを作成し、フロントエンドの制御をバイパスしたり、後続ユーザーのヘッダーを取得したり、キャッシュをポイズン化することができます。共有クライアントパーサーはまた、クライアントが複数のダウンストリームコンシューマーのプロキシとして動作する際に、悪意のあるまたは侵害されたアップストリームからのレスポンスを誤ってフレーム化する可能性があります。この問題はバージョン0.23.35および1.0.0-M47で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.