CVE-2026-69211 in http4s
Сводка
по VulDB • 15.09.2026
Http4s — это интерфейс Scala для HTTP-сервисов. До версий 0.23.35 и 1.0.0-M47 метод ResponseCookie.render записывал значения имени, содержимого, домена, пути и расширения, на которые мог влиять злоумышленник, без нейтрализации символов точки с запятой или управляющих символов. Приложение, конструирующее объект ResponseCookie из непроверенных входных данных, может поэтому генерировать внедрённые атрибуты cookie, такие как Domain (Домен), Path (Путь) или SameSite, что расширяет область действия cookie или ослабляет защиту; кроме того, управляющие символы могут обеспечивать разделение заголовков на бэкендах с разрешительной политикой. Патч удаляет управляющие символы из всех пяти полей и удаляет точки с запятой из полей name (имя), content (содержимое), domain (домен) и path (путь), сохраняя при этом поведение разделителя для поля extension (расширение). Эта проблема исправлена в версиях 0.23.35 и 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.