CVE-2026-69211
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. 0.23.35 ve 1.0.0-M47 sürümlerinden önce, ResponseCookie.render; noktalı virgülleri veya kontrol karakterlerini etkisiz hale getirmeden saldırgan tarafından etkilenen name, content, domain, path ve extension değerlerini yazar. Doğrulanmamış girdilerden bir ResponseCookie oluşturan uygulama; Domain, Path veya SameSite gibi enjekte edilmiş çerez öznitelikleri yayınlayarak çerez kapsamını genişletebilir veya korumaları zayıflatabilir ve kontrol karakterleri, izin verici arka uçlarda başlık bölme (header splitting) işlemine olanak tanıyabilir. Yama, beş alanın tamamından kontrol karakterlerini temizlerken; extension ayırıcı davranışını koruyup name, content, domain ve path alanlarından noktalı virgülleri temizler. Bu sorun 0.23.35 ve 1.0.0-M47 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| http4s http4s | < 0.23.35, >= 1.0.0-M1, < 1.0.0-M47 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.