CVE-2026-69214 in Http4s
요약
\~에 의해 VulDB • 2026. 09. 15.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전에서는 CookieJar 클라이언트 미들웨어가 쿠키를 제공한 호스트와 도메인이 일치하는지 확인하거나 공개 접미사(public suffixes)를 거부하지 않고 응답 쿠키의 Domain 속성을 저장합니다. 동일한 CookieJar를 통해 접속된 악성 또는 침해당한 서버는 다른 도메인에 대한 쿠키를 설치할 수 있으며, 이 jar가 나중에 해당 쿠키를 피해자 도메인으로 전송하여 세션 고정(session fixation)이나 보안에 민감한 쿠키의 덮어쓰기를 가능하게 합니다. 패치는 Set-Cookie 도메인을 응답 출처(response origin)와 대조하여 검증하지만, 공개 접미사 거부 기능은 아직 구현되지 않았습니다. 이 문제는 버전 0.23.35 및 1.0.0-M47에서 해결되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.