CVE-2026-69203 in Http4s
الملخص
بحسب VulDB • 15/09/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و 1.0.0-M47، لا يفرض خادم Ember الذي تم تفعيل HTTP/2 عبر withHttp2 تطبيق SETTINGS_MAX_CONCURRENT_STREAMS على التدفقات التي ينشئها الطرف الآخر. يمكن لاتصال واحد غير مصادق عليه فتح عدد غير محدود من التدفقات، حيث يحتفظ كل تدفق بحالته الخاصة حتى استنفاد الذاكرة العشوائية (heap exhaustion). ويمكن الوصول إلى نفس تخصيص الذاكرة غير المدقق عليه في عميل ember عبر إطارات PUSH_PROMISE التي يبادر بها الخادم لأن enablePush لا يتم فرضه. تم إصلاح هذه المشكلة في الإصدارين 0.23.35 و 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.