CVE-2026-69217

Nome do Software Vulnerável e Versões Afetadas Http4s versões anteriores a 0.23.35 Http4s versões anteriores a 1.0.0-M47

Description O parser HTTP/1.1 do Ember aceita cabeçalhos Content-Length duplicados com valores diferentes e utiliza o último valor em vez de rejeitar a mensagem. Esse comportamento permite que um invasor não autenticado realize o contrabando de requisições (request smuggling) do tipo CL.CL quando o servidor está atrás de um intermediário keep-alive que seleciona uma ocorrência diferente do cabeçalho. Isso pode resultar na evasão de controles de front-end, captura de cabeçalhos de usuários posteriores ou envenenamento de cache. Além disso, o parser de cliente compartilhado pode enquadrar incorretamente as respostas de uma fonte upstream maliciosa ou comprometida quando o cliente atua como um proxy para múltiplos consumidores downstream.

Recommendations Atualizar para a versão 0.23.35. Atualizar para a versão 1.0.0-M47.