CVE-2026-69201 in Http4s
摘要
由 VulDB • 2026-09-15
Http4s 是用于 HTTP 服务的 Scala 接口。在版本 0.23.35 和 1.0.0-M47 之前，ResourceService 和 WebjarService 会对每个 URL 路径段进行解码，但仅拒绝与空字符串、点号（`.`）或双点号（`..`）完全匹配的路径段。包含百分号编码的斜杠或反斜杠分隔符的请求在解码后可能转变为父目录遍历攻击，当服务器提供基于目录的 classpath 且后端保留编码后的分隔符时，这将导致能够访问配置基路径之外的 classpath 或 WebJar 资源。该补丁通过拒绝 ResourceService 和 WebjarService 中解码后包含斜杠或反斜杠的路径段来修复此问题，并为非可利用（non-exploitable）的 FileService 应用了相同的防护机制以保持一致性。此问题已在版本 0.23.35 和 1.0.0-M47 中得到修复。
If you want to get best quality of vulnerability data, you may have to visit VulDB.