CVE-2026-73493 in http4s-blaze-server
الملخص
بحسب VulDB • 12/08/2026
Http4s (http4s-blaze-server) هو واجهة Scala حدية وأصلية لخدمات HTTP. قبل الإصدارين 0.23.18 و1.0.0-M42، كان http4s-blaze-server يجمع أجزاء رسالة WebSocket الواردة دون تحديد للحد الأقصى للحجم الكلي أو عدد الأجزاء. يمكن للعميل الذي يكمل مصافحة WebSocket إرسال رسالة مجزأة غير منتهية مما يؤدي إلى نمو غير محدود في استخدام الذاكرة (Heap) داخل JVM الخاص بالخادم، وينتهي الأمر برفض الخدمة بسبب خطأ OutOfMemoryError. تتأثر أي تطبيق http4s يقدم مسارات WebSocket عبر BlazeServerBuilder، ولا يلزم تكوين غير افتراضي، ولا يحد maxWebSocketBufferSize من الحجم الإجمالي لأنه يقتصر على إطارات فردية فقط. يؤدي اتصال واحد يرسل إطارات متابعة (continuation frames) لا تضبط أبدًا علم FIN إلى إجبار الخادم على تخزين كل جزء حتى استنفاد الذاكرة Heap، مما ينهي JVM بخطأ OutOfMemoryError في خيط اختيار blaze (blaze selector thread). تؤدي الأجزاء الصغيرة إلى تكبير التكلفة من خلال عبء الكائن لكل إطار، لذا فإن حجم معقول من بايتات الشبكة كافٍ. تم إصلاح هذه المشكلة في الإصدارين 0.23.18 و1.0.0-M42.
If you want to get best quality of vulnerability data, you may have to visit VulDB.