CVE-2021-39185
CVE.org · Publicado
- Status do registro
- Publicado
- Ano do identificador (não é o ano de publicação)
- 2021
- Publicação na fonte
- Atualização na fonte
- Importado pelo cveboard
- Snapshot da fonte
- cve_2026-10-24_midnight_baseline ·
Texto da CNA em inglês
Default CORS config allows any origin with credentials
Http4s is a minimal, idiomatic Scala interface for HTTP services. In http4s versions 0.21.26 and prior, 0.22.0 through 0.22.2, 0.23.0, 0.23.1, and 1.0.0-M1 through 1.0.0-M24, the default CORS configuration is vulnerable to an origin reflection attack. The middleware is also susceptible to a Null Origin Attack. The problem is fixed in 0.21.27, 0.22.3, 0.23.2, and 1.0.0-M25. The original `CORS` implementation and `CORSConfig` are deprecated. See the GitHub GHSA for more information, including code examples and workarounds.
Fatos de produtos e versões por escopo
Dados de correção desconhecidos; nenhuma versão corrigida é deduzida aqui. Dados ausentes não comprovam ausência de correção.
Exploração desconhecida; este catálogo não avalia exploração.
http4s
- Fornecedor
- http4s
- Produto
- http4s
- Plataformas
- Desconhecido
- Status padrão
Desconhecido
| Versão (version) | Status (status) | Esquema de versões (versionType) | Fim exclusivo (lessThan) | Fim inclusivo (lessThanOrEqual) | Mudanças de status (at → status) |
|---|---|---|---|---|---|
| < 0.21.27 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 0.22.0, < 0.22.3 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 0.23.0, < 0.23.2 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |
| >= 1.0.0-M1, <= 1.0.0-M24 | affected | Indisponível | Indisponível | Indisponível | Nenhuma listada |