CVE-2026-69216 in Http4s
Сводка
по VulDB • 16.09.2026
Http4s — это интерфейс Scala для HTTP-сервисов. До версий 0.23.35 и 1.0.0-M47 декодер чанков Ember обрезал токен размера чанка и принимал ведущие знаки плюс или минус вместо требования наличия одной или более шестнадцатеричных цифр, за которыми следовали бы обязательные CRLF. Когда промежуточное звено передает данные с разбиением на чанки без повторного кодирования и интерпретирует некорректные границы чанков иначе, неподтвержденный злоумышленник может создать запросную утечку TE.TE (TE.TE request smuggling), которая обходит контроль со стороны промежуточных звеньев, отравляет кэш или перехватывает очередь запросов. Та же самая излишняя толерантность в пути обработки ответов позволяет осуществлять ответную утечку (response smuggling) против ember-client, используемого как шлюз, когда вышестоящий сервер является вредоносным или скомпрометированным. Эта проблема исправлена в версиях 0.23.35 и 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.