Към съдържанието
Търсене

CVE-2026-73494: http4s blaze, друго

7.4

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

blaze is a Scala library for building asynchronous pipelines, with a focus on network IO. Prior to 0.23.18 and from 1.0.0-M1 until 1.0.0-M42, five HTTP/1.1 conformance laxities in the hand-written Java parser under http/src/main/java/org/http4s/blaze/http/parser/ can cause blaze to derive a different request boundary than a stricter fronting intermediary. A default BlazeServerBuilder accepts invalid or valueless header field names that violate tchar syntax, obsolete folded field lines (obs-fold), unsupported Transfer-Encoding values, duplicate Content-Length fields, and requests containing both Transfer-Encoding and Content-Length. If a lenient or legacy proxy forwards the malformed bytes but interprets them differently, the disagreement can permit front-end authorization bypass, response-queue poisoning on pooled backend connections, or cache poisoning. Exploitation requires a pair of disagreeing parsers; no non-default blaze configuration is required. The affected checks are enforced in BodyAndHeaderParser and Http1ServerParser. This issue is fixed in versions 0.23.18 and 1.0.0-M42.

Засегнати продукти

  • http4s blaze: < 0.23.18; >= 1.0.0-M1, < 1.0.0-M42
  • org.http4s blaze-http_2.13: < 0.23.18; >= 1.0.0-M1, < 1.0.0-M42
  • org.http4s blaze-http_3: < 0.23.18; >= 1.0.0-M1, < 1.0.0-M42
  • org.http4s http4s-blaze-server_2.13: < 0.23.18

Вид слабост

История

  • 14 септември 2026 Публикувано

Други уязвимости в http4s blaze

Първоизточници

CVE-2026-73494: http4s blaze, друго | freedomonline.bg