CVE-2026-69212 in Http4s
Tóm tắt
Bởi VulDB • 16/09/2026
Http4s là một giao diện Scala cho các dịch vụ HTTP. Trước phiên bản 0.23.35 và 1.0.0-M47, middleware FollowRedirect client chỉ loại bỏ các tiêu đề Authorization và Cookie khi việc chuyển hướng (redirect) thay đổi authority, nhưng việc so sánh authority lại không bao gồm scheme của URI. Do đó, một lần chuyển hướng cùng authority từ HTTPS sang HTTP sẽ giữ nguyên thông tin xác thực và truyền chúng qua kết nối plaintext. Một kẻ tấn công có thể gây ra việc hạ cấp giao thức và quan sát mạng lưới có thể đánh cắp các tiêu đề nhạy cảm này từ các ứng dụng sử dụng FollowRedirect. Vấn đề này đã được khắc phục trong các phiên bản 0.23.35 và 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.