CVE-2026-69203 in Http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 erzwingt ein Ember-Server mit aktiviertem HTTP/2 über `withHttp2` die Einstellung `SETTINGS_MAX_CONCURRENT_STREAMS` für vom Peer erstellte Streams nicht. Eine einzelne, nicht authentifizierte Verbindung kann eine unbegrenzte Anzahl von Streams öffnen, wobei jeder Stream zustandsbehaftet bleibt, bis der Heap erschöpft ist. Dieselbe unkontrollierte Allokation ist auch über einen ember-client erreichbar, da Server-initiierte `PUSH_PROMISE`-Frames aufgrund fehlender Durchsetzung von `enablePush` nicht überprüft werden. Dieses Problem wurde in den Versionen 0.23.35 und 1.0.0-M47 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.