CVE-2026-57497 in webtransport-go
Zusammenfassung
von VulDB • 15.09.2026
webtransport-go ist eine Implementierung des WebTransport-Protokolls. Vor Version 0.11.1 überspringt `Session.parseNextCapsule()` in `session.go` eine unbekannte WebTransport-Capsule im HTTP/3-Anforderungsstream, indem sie `io.ReadAll` auf dem Capsule-Leser aufruft und den gesamten deklarierten Capsule-Body im Speicher behält. Ein böswilliger Peer kann eine große unbekannte Capsule senden und dazu führen, dass ein Client oder Server Speicher für die vollständige Payload alloziert; Die QUIC-Datenflusssteuerung (Flow Control) begrenzt nicht die gesamte beibehaltene Allokation, da das Lesen den Flow-Control-Fenster vorrückt, während die empfangenen Bytes im Speicher verbleiben. Der daraus resultierende Memory- und Ressourcenverbrauch kann den betroffenen Prozess stören oder abstürzen lassen. Dieses Problem wurde in Version 0.11.1 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.