CVE-2026-69201

Http4s HTTP xidmətləri üçün Scala interfeysidir. 0.23.35 və 1.0.0-M47 versiyalarından əvvəl ResourceService və WebjarService hər bir URL yol seqmentini dekodlaşdırır, lakin yalnız boş sətirə, nöqtəyə və ya iki nöqtəyə tam bərabər olan seqmentləri rədd edir. Faizlə kodlaşdırılmış slash və ya backslash ayırıcıları ehtiva edən sorğu, dekodlaşdırmadan sonra qəbul edilmiş seqmenti valideyn kataloquna keçidə (parent-directory traversal) çevirə bilər. Bu, kataloq əsaslı classpath təqdim etdikdə və backend kodlaşdırılmış ayırıcını saxladıqda, konfiqurasiya edilmiş bazanın xaricindəki classpath və ya WebJar resurslarına girişə şərait yaradır. Təmir paketində ResourceService və WebjarService daxilində slash və ya backslash ehtiva edən dekodlaşdırılmış seqmentlər rədd edilir və ardıcıllığı təmin etmək üçün eyni mühafizə mexanizmi istismar edilə bilməyən FileService-ə tətbiq olunur. Bu problem 0.23.35 və 1.0.0-M47 versiyalarında düzəldilmişdir.