CVE-2026-69204

Http4s HTTP xidmətləri üçün Scala interfeysidir. 0.23.35 və 1.0.0-M47 versiyalarından əvvəl Ember HTTP/1.1 həm Transfer-Encoding, həm də Content-Length ehtiva edən mesajları rədd etmir, buna görə də vasitəçi (intermediary) və Ember fərqli gövdə çərçivələmə qaydaları seçə bilər. ember-server hər iki başlığı ötürən və kadrları Content-Length-ə görə yönləndirən keep-alive vasitəçisinin arxasında olduqda, autentifikasiya olunmamış hücumçu ikinci sorğunu gizlədə (smuggle), vasitəçi giriş nəzarətindən yan keçə, keşləri zəhərləyə və ya qurbanın sorğusunun hücumçu tərəfindən idarə olunan prefiksə birləşdirilməsinə səbəb ola bilər. Paylaşılan cavab təhlilçisi (response parser), bədniyyətli və ya kompromisə uğramış yuxarı axın (upstream) hər iki başlığı göndərdikdə ember-client bağlantısını desinxronizasiya edə bilər. Bu problem 0.23.35 və 1.0.0-M47 versiyalarında düzəldilmişdir.