CVE-2026-69212 in Http4s
요약
\~에 의해 VulDB • 2026. 09. 16.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전에서는 FollowRedirect 클라이언트 미들웨어가 리디렉션 시 authority(권한) 변경이 발생했을 때만 Authorization 및 Cookie 헤더를 제거합니다. 그러나 authority 비교에는 URI scheme이 제외됩니다. 따라서 HTTPS에서 HTTP로의 동일 authority 리디렉션은 자격 증명을 유지하고 평문 연결을 통해 이를 전송합니다. 다운그레이드를 유도할 수 있고 네트워크를 관찰할 수 있는 공격자는 FollowRedirect를 사용하는 애플리케이션으로부터 이러한 민감한 헤더를 탈취할 수 있습니다. 이 문제는 버전 0.23.35 및 1.0.0-M47에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.