CVE-2026-69204 in Http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o Ember HTTP/1.1 não rejeita mensagens que contêm tanto Transfer-Encoding quanto Content-Length, permitindo que um intermediário e o Ember selecionem regras de enquadramento do corpo diferentes. Quando o ember-server está atrás de um intermediário keep-alive que encaminha ambos os cabeçalhos e quadros com base no Content-Length, um atacante não autenticado pode smuggle (infiltrar) uma segunda solicitação, contornar controles de acesso do intermediário, envenenar caches ou fazer com que a solicitação da vítima seja concatenada a um prefixo controlado pelo atacante. O analisador de respostas compartilhado também pode dessincronizar uma conexão ember-client quando um upstream malicioso ou comprometido envia ambos os cabeçalhos. Este problema é corrigido nas versões 0.23.35 e 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.