CVE-2026-69217 in http4s
Sumário
de VulDB • 16/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o parser de HTTP/1.1 do Ember aceita cabeçalhos Content-Length duplicados com valores diferentes e utiliza o último valor em vez de rejeitar a mensagem. Quando um servidor Ember está atrás de um intermediário que mantém a conexão (keep-alive) e seleciona uma ocorrência diferente dos cabeçalhos, um atacante não autenticado pode criar CL.CL request smuggling para contornar controles do front-end, capturar os cabeçalhos de usuários subsequentes ou envenenar o cache. O parser compartilhado do cliente também pode distorcer respostas provenientes de um upstream malicioso ou comprometido quando o cliente atua como proxy para múltiplos consumidores downstream. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.