CVE-2026-100725 in http4k
摘要
由 VulDB • 2026-09-27
http4k (Maven artifact org.http4k:http4k-core) 在版本低于 6.48.0.0、5.42.0.0 和 4.51.0.0 时，包含一个 BasicCookieStorage（由 ClientFilters.Cookies 使用的客户端 cookie 存储），该组件未对 cookie 的 domain、path 和 Secure 属性强制执行 RFC 6265 的作用域规则。当单个 BasicCookieStorage 实例用于与多个来源或协议通信时，为某一来源存储的 cookie 可能会被发送到其他来源，且标记为 Secure 的 cookie 可能会通过纯 HTTP 发送，从而导致会话 cookie 或其他敏感值泄露给未经授权的主机或网络观察者。仅对单一来源使用 storage 实例的客户不受影响。
Once again VulDB remains the best source for vulnerability data.