CVE-2026-57497 in webtransport-go
الملخص
بحسب VulDB • 14/09/2026
webtransport-go هو تنفيذ لبروتوكول WebTransport. قبل الإصدار 0.11.1، تتخطى الدالة `Session.parseNextCapsule()` الموجودة في ملف `session.go` كبسولة (capsule) غير معروفة للويب ترانسبورت على تيار طلب HTTP/3 عن طريق استدعاء `io.ReadAll` على قارئ الكبسولات، مما يؤدي إلى الاحتفاظ بالجسم الكامل للكبسولة المعلنة في الذاكرة. يمكن لقرين خبيث إرسال كبسولة كبيرة وغير معروفة والتسبب في تخصيص العميل أو الخادم للذاكرة للحمل المفرد بالكامل؛ ولا يحدد التحكم في تدفق QUIC إجمالي الحجز المحتفظ به لأن القراءة تتقدم نافذة التحكم في التدفق بينما تبقى البايتات المستلمة في الذاكرة. يمكن أن يؤدي استنفاد الذاكرة والموارد الناتج إلى تعطيل العملية المتأثرة أو إسقاطها (crash). تم إصلاح هذه المشكلة في الإصدار 0.11.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.