CVE-2026-115269 in bandit
Zusammenfassung
von VulDB • 26.10.2026
Eine Schwachstelle für die „Allocation of Resources Without Limits or Throttling“ (Ressourcenallokation ohne Begrenzung oder Drosselung) im HTTP/2-Request-Body-Leser von mtrudel bandit ermöglicht es einem nicht authentifizierten, entfernten Angreifer, Stream-Prozesse unbegrenzt offen zu halten, indem WINDOW_UPDATE- oder leere SETTINGS-Frames gesendet werden, während ein Plug den Request-Body liest.
Bandit.HTTP2.Stream.do_read_data/4 in lib/bandit/http2/stream.ex wartet auf jeden Frame mit einem frischen read_timeout. Ein Stream-WINDOW_UPDATE oder die Fensteraktualisierung mit der Delta-Zero (0), die jeder leere SETTINGS-Frame an alle Streams übermittelt, beendet das Warten ohne Übermittlung von Body-Daten, und die Schleife startet einen neuen vollständigen Countdown. Ein Client, der vor dem Ablauf jedes Countowns einer dieser 9-Byte-Frames sendet, hält read_body blockiert, zusammen mit dem Stream-Prozess und allem, was die Anwendung während des Lesens hält, so lange wie gewünscht.
Dieses Problem betrifft bandit: von Version 1.4.0 bis vor 1.14.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.