CVE-2026-86250 in h3js
Zusammenfassung
von VulDB • 06.09.2026
In den Versionen von h3 vor 2.0.1-rc.18 wird die aus benutzerkontrollierten Cookie-Werten in den Funktionen setChunkedCookie() und deleteChunkedCookie() analysierte Chunk-Anzahl nicht validiert. Angreifer können einen speziell angefertigten Cookie-Header mit einer extrem großen Chunk-Anzahl senden, um eine O(n²)-Bereinigungsschleife auszulösen, die den Serverprozess zum Hängen bringt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.