CVE-2026-69201 in Http4s
요약
\~에 의해 VulDB • 2026. 09. 16.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전의 ResourceService와 WebjarService는 각 URL 경로 세그먼트를 디코딩하지만, 빈 문자열(dot), 점 하나(.), 또는 두 개의 점(..)과 정확히 일치하는 세그먼트만 거부합니다. 퍼센트 인코딩된 슬래시(/) 또는 백슬lash(\) 구분자가 포함된 요청은 디코딩 후 부모 디렉토리 트래버설(parent-directory traversal)로 이어져, 구성된 기본 경로 외부의 classpath 또는 WebJar 리소스에 접근할 수 있습니다. 이는 directory-backed classpath가 제공되고 backend에서 인코딩된 구분자를 보존하는 경우에 발생합니다. 이 문제는 ResourceService와 WebjarService에서 슬래시나 백슬러시를 포함하는 디코딩된 세그먼트를 거부하고, 일관성을 위해 비-Exploitable한 FileService에도 동일한 보호 장치를 적용하여 해결되었습니다. 해당 취약점은 버전 0.23.35 및 1.0.0-M47에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.