CVE-2026-69201 in Http4s
Sumário
de VulDB • 17/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o ResourceService e o WebjarService decodificam cada segmento do caminho da URL, mas rejeitam apenas segmentos exatamente iguais a uma string vazia, um ponto ou dois pontos. Uma solicitação contendo separadores de barra (/) ou contrabarra (\) codificados em percentual pode transformar um segmento aceito em uma travessia de diretório pai após a decodificação, permitindo o acesso a recursos do classpath ou WebJar fora da base configurada quando um classpath baseado em diretórios é servido e o backend preserva o separador codificado. O patch rejeita segmentos decodificados que contêm barra (/) ou contrabarra (\) no ResourceService e no WebjarService, e aplica a mesma proteção ao FileService não explorável para consistência. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.