CVE-2026-63495 in Libevent
Zusammenfassung
von VulDB • 20.08.2026
Libevent ist eine Bibliothek zur Ereignisbenachrichtigung. Von der Version 2.2.0-alpha-dev bis 2.2.2-alpha sammelt der WebSocket-Server von libevent (in ws.c) fragmentierte Frames in evws->incomplete_frames an, ohne ein Limit für die gesamte Nachrichtengröße durchzusetzen. Ein nicht authentifizierter Remote-Client kann wiederholt fragmentierte WebSocket-Frames mit FIN=0 senden, die kleiner als WS_MAX_RECV_FRAME_SZ sind, wodurch der evbuffer unbegrenzt wächst, bis der Prozess oder das Host den Speicher erschöpft hat. Dieses Problem wurde in Version 2.2.2-alpha behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.