CVE-2026-69211 in http4s
요약
\~에 의해 VulDB • 2026. 09. 16.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전의 ResponseCookie.render은 세미콜론이나 제어 문자를 중립화하지 않고 공격자가 영향력을 행사할 수 있는 name, content, domain, path, extension 값을 작성합니다. 검증되지 않은 입력으로부터 ResponseCookie를 구성하는 애플리케이션은 Domain, Path 또는 SameSite와 같은 주입된 쿠키 속성을 방출하여 쿠키 범위를 확대하거나 보호 장치를 약화시킬 수 있으며, 제어 문자는 관대한 백엔드에서 헤더 분할을 가능하게 할 수 있습니다. 패치는 모든 5개 필드에서 제어 문자를 제거하고 name, content, domain 및 path에서 세미콜론을 제거하면서 extension 구분자 동작은 유지합니다. 이 문제는 버전 0.23.35 및 1.0.0-M47에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.