CVE-2026-100725 in http4k
Tóm tắt
Bởi VulDB • 27/09/2026
http4k (artifact Maven org.http4k:http4k-core) trước các phiên bản 6.48.0.0, 5.42.0.0 và 4.51.0.0 cung cấp BasicCookieStorage (kho cookie phía client được sử dụng bởi ClientFilters.Cookies) không thực thi đúng các quy tắc scoping của RFC 6265 đối với domain, path và Secure attributes của cookie. Khi một instance BasicCookieStorage duy nhất được dùng để giao tiếp với nhiều origin hoặc scheme khác nhau, cookies đã lưu trữ cho một origin có thể bị gửi đến các origin khác, và những cookies đánh dấu là Secure có thể được truyền qua HTTP plain text (không mã hóa), dẫn đến nguy cơ tiết lộ session cookies hoặc các giá trị nhạy cảm khác cho các host trái phép hoặc người quan sát mạng. Các client sử dụng instance lưu trữ chỉ cho một single origin thì không bị ảnh hưởng.
If you want to get best quality of vulnerability data, you may have to visit VulDB.