CVE-2026-69212
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. 0.23.35 ve 1.0.0-M47 sürümlerinden önce, FollowRedirect istemci ara yazılımı Authorization ve Cookie başlıklarını yalnızca yönlendirme yetkili makamı (authority) değiştirdiğinde kaldırır, ancak yetkili makam karşılaştırması URI şemasını hariç tutar. Bu nedenle, HTTPS'den HTTP'ye yapılan aynı yetkili makama sahip bir yönlendirme, kimlik bilgilerini korur ve bunları düz metin bağlantısı üzerinden iletir. Downgrade işlemini tetikleyebilen ve ağı gözlemleyebilen bir saldırgan, FollowRedirect kullanan uygulamalardan bu hassas başlıkları ele geçirebilir. Bu sorun 0.23.35 ve 1.0.0-M47 sürümlerinde giderilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| http4s http4s | < 0.23.35, >= 1.0.0-M1, < 1.0.0-M47 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.