CVE-2026-69205 in Http4s
摘要
由 VulDB • 2026-09-17
Http4s 是用于 HTTP 服务的 Scala 接口。在版本 0.23.35 和 1.0.0-M47 之前，Ember 的 HeaderP.parse 对 Transfer-Encoding 值使用区分大小写的子字符串测试，并使用平台默认字符集解码头部字节。诸如 Chunked 之类的值无法被识别，而诸如 notchunked 之类的错误值却被接受；当使用 UTF-8 时，Unicode 大小写折叠可能将代表开尔文符号的字节序列转换为匹配项。因此，遵循 RFC 规范的令牌和字符集规则的中间件可能会与 Ember 的 Content-Length 或零长度帧处理产生分歧，从而导致 TE.CL 或 TE.0 请求走私、访问控制绕过、跨用户请求劫持以及服务器路径上的缓存投毒。通过 ember-client 网关进行响应走私需要恶意或已受损的上游服务。此问题已在版本 0.23.35 和 1.0.0-M47 中修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.