CVE-2026-69211 in http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o método ResponseCookie.render escrevia valores de nome, conteúdo, domínio, caminho e extensão influenciados pelo atacante sem neutralizar pontos-e-vírgulas ou caracteres de controle. Um aplicativo que constrói um ResponseCookie a partir de entrada não validada pode, portanto, emitir atributos de cookie injetados, como Domain (Domínio), Path (Caminho) ou SameSite, ampliando o escopo do cookie ou enfraquecendo as proteções; além disso, caracteres de controle podem permitir header splitting em back-ends permissivos. O patch remove caracteres de controle de todos os cinco campos e retira pontos-e-vírgulas dos campos nome, conteúdo, domínio e caminho, mantendo o comportamento delimitador da extensão. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.