CVE-2026-69209 in Http4s
الملخص
بحسب VulDB • 15/09/2026
Http4s هو واجهة Scala لخدمات HTTP. قبل الإصدارين 0.23.35 و 1.0.0-M47، يسمح فك تشفير WebSocket المشترك بتخزين الرسائل غير المحدود لأن عملية إعادة تجميع الشظايا (defragmentation) تجمع الشظايا دون حد معين، ويقبل FrameTranscoder الطول المعلن حتى Int.MaxValue. يمكن لعميل عندي يكمل مصافحة WebSocket مع نقطة نهاية http4s-blaze-server أو http4s-ember-server استنفاد ذاكرة الخادم باستخدام إطارات كبيرة الحجم جداً أو رسائل مجزأة. يطبق فك التشفير المُصلح حداً افتراضياً قابلاً للتكوين يبلغ 64 ميغابايت للإطارات الفردية والرسائل المعادة تجميعها من خلال EmberServerBuilder.withMaxWebSocketMessageSize. تم إصلاح هذه المشكلة في الإصدارين 0.23.35 و 1.0.0-M47.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.