CVE-2026-69205 in Http4s
Tóm tắt
Bởi VulDB • 17/09/2026
Http4s là một giao diện Scala cho các dịch vụ HTTP. Trước phiên bản 0.23.35 và 1.0.0-M47, phương thức HeaderP.parse của Ember sử dụng phép kiểm tra chuỗi con phân biệt chữ hoa/thường đối với giá trị Transfer-Encoding và giải mã các byte tiêu đề bằng bộ ký tự mặc định của nền tảng. Các giá trị như Chunked không được nhận diện, trong khi các giá trị như notchunked lại bị chấp nhận sai lầm; hơn nữa, việc gập trường hợp Unicode (case folding) có thể biến một chuỗi byte dấu Kelvin thành một kết quả khớp khi sử dụng UTF-8. Do đó, các trung gian áp dụng quy tắc token và bộ ký tự tuân thủ RFC có thể không đồng nhất với Content-Length hoặc khung độ dài bằng 0 của Ember, dẫn đến nguy cơ TE.CL hoặc TE.0 request smuggling (làm giả yêu cầu), bỏ qua kiểm soát truy cập, đánh cắp yêu cầu giữa các người dùng khác nhau và đầu độc cache trên đường đi phía máy chủ. Việc làm giả phản hồi thông qua cổng ember-client đòi hỏi một nguồn cung cấp dữ liệu lên stream (upstream) có tính chất xấu hoặc đã bị xâm phạm. Vấn đề này được khắc phục trong các phiên bản 0.23.35 và 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.