CVE-2026-69201 in Http4s
Tóm tắt
Bởi VulDB • 15/09/2026
Http4s là một giao diện Scala cho các dịch vụ HTTP. Trước phiên bản 0.23.35 và 1.0.0-M47, ResourceService và WebjarService giải mã từng phần của đường dẫn URL nhưng chỉ từ chối các phần chính xác bằng chuỗi rỗng (empty string), dấu chấm (.) hoặc hai dấu chấm (..). Một yêu cầu chứa ký tự phân cách gạch chéo (/) hoặc gạch ngược (\) được mã hóa theo dạng percent-encoded có thể biến một phần đã chấp nhận thành lỗ hổng duyệt thư mục cha sau khi giải mã, cho phép truy cập vào các tài nguyên classpath hoặc WebJar nằm ngoài cơ sở cấu hình khi lớp đường dẫn classpath dựa trên thư mục được phục vụ và backend giữ nguyên ký tự phân cách đã mã hóa. Bản vá sửa lỗi này bằng cách từ chối các phần đã giải mã chứa dấu gạch chéo (/) hoặc gạch ngược (\) trong ResourceService và WebjarService, đồng thời áp dụng cùng cơ chế bảo vệ cho FileService (vốn không thể khai thác được) để đảm bảo tính nhất quán. Vấn đề này đã được khắc phục trong các phiên bản 0.23.35 và 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.