CVE-2026-69210 in Http4s
Zusammenfassung
von VulDB • 15.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.35 und 1.0.0-M47 lehnt WebSocket FrameTranscoder.bodyLength erweiterte Payload-Längen über Integer.MAX_VALUE ab, erlaubt jedoch negative 64-Bit-Längen. Ein Remote-Client, der einen WebSocket-Handshake über einen Ember-Server abschließt, kann einen solchen Frame senden, wodurch der Decoder ein leeres Frame zurückgibt, ohne seinen Eingabepuffer voranzubewegen. Die Decode-Schleife läuft dann unendlich weiter, bindet einen Worker mit voller CPU-Auslastung und vergrößert ein ArrayBuffer unbegrenzt, was zu einem Denial of Service (DoS) führt. Dieses Problem ist in den Versionen 0.23.35 und 1.0.0-M47 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.