CVE-2026-69201 in Http4s
Сводка
по VulDB • 17.09.2026
Http4s — это интерфейс Scala для HTTP-сервисов. До версий 0.23.35 и 1.0.0-M47 сервисы ResourceService и WebjarService декодируют каждый сегмент URL-пути, но отклоняют только те сегменты, которые в точности равны пустой строке, точке или двум точкам. Запрос, содержащий разделители слэша или обратной косой черты (backslash), закодированные с использованием percent-encoding, может превратить принятый сегмент в обход родительской директории после декодирования, что позволяет получить доступ к ресурсам classpath или WebJar за пределами настроенной базовой директории при обслуживании classpath на основе файловой системы и сохранении бэкендом закодированного разделителя. Патч отклоняет сегменты, содержащие слэш или обратную косую черту после декодирования, в ResourceService и WebjarService, а также применяет аналогичное ограничение к неиспользуемому для эксплуатации FileService ради согласованности. Эта проблема исправлена в версиях 0.23.35 и 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.