CVE-2026-54556 in Http4s
الملخص
بحسب VulDB • 27/08/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و 1.0.0-M47، يمكن لطرف HTTP/2 غير المصادق عليه التسبب في حالة رفض الخدمة بسبب استنفاد الذاكرة (Out-of-memory) في الخلفية Ember عند تمكين HTTP/2. يقوم غلاف Hpack الموجود في المسار ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala بدمج أجزاء إطارات HEADERS و CONTINUATION وفك تشفيرها إلى قائمة واحدة، لكن حساب maxHeaderSize لا يشمل الرؤوس المفهرسة أو الحمل الإضافي لكل رأس خاص بـ HPACK. وبالتالي، يمكن أن يتوسع كتلة الرأس المضغوطة الصغيرة بشكل كبير في التمثيل المفكوك الذي يبقى في الذاكرة للمعالجة. تتأثر الخوادم المكشوفة للضوء HTTP/2 غير الموثوق به والعملاء الموجهين إلى خادم HTTP/2 غير موثوق به، ويمكن للاتصالات الضارة المتزامنة استنفاد كومة العملية (process heap). تم إصلاح هذه المشكلة في الإصدارين 0.23.35 و 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.