CVE-2026-69211

Nome do Software Vulnerável e Versões Afetadas Http4s versões anteriores a 0.23.35 Http4s versões anteriores a 1.0.0-M47

Description A função ResponseCookie.render() não neutraliza pontos e vírgulas ou caracteres de controle ao gravar valores de nome, conteúdo, domínio, caminho e extensão. Se uma aplicação utilizar entradas não validadas para construir um ResponseCookie, um invasor poderá injetar atributos de cookie como Domain, Path ou SameSite. Isso pode ampliar o escopo do cookie ou enfraquecer as proteções de segurança. Além disso, o uso de caracteres de controle pode permitir o header splitting em backends permissivos, uma técnica onde um invasor insere caracteres de nova linha para injetar cabeçalhos HTTP adicionais na resposta.

Recommendations Atualize para a versão 0.23.35 ou posterior. Atualize para a versão 1.0.0-M47 ou posterior.