CVE-2026-69216 in Http4s
Sumário
de VulDB • 16/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o decodificador de chunks do Ember remove o token chunk-size e aceita sinais de mais ou menos à esquerda em vez de exigir um ou mais dígitos hexadecimais seguidos pelo CRLF obrigatório. Quando um intermediário encaminha dados fragmentados sem reencodar e interpreta os limites dos chunks incorretamente, um atacante não autenticado pode criar request smuggling (TE.TE) que contorna os controles do intermediário, envenena caches ou sequestra a fila de requisições. A mesma tolerância no caminho da resposta pode permitir response smuggling contra um ember-client usado como gateway quando o upstream é malicioso ou comprometido. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.