CVE-2026-69214 in Http4s
Sumário
de VulDB • 15/09/2026
Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o middleware do cliente CookieJar armazenava o atributo Domain de um cookie de resposta sem verificar se ele correspondia ao domínio (domain-match) do host que forneceu o cookie ou rejeitar sufixos públicos. Um servidor malicioso ou comprometido, acessado através do mesmo CookieJar, pode injetar um cookie para outro domínio, e o jar posteriormente envia esse cookie para o domínio da vítima, permitindo session fixation ou a substituição de cookies sensíveis à segurança. O patch valida o domain definido em Set-Cookie contra a origem da resposta, embora a rejeição de sufixos públicos permaneça não implementada. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.