CVE-2026-69203 in Http4s
Resumen
por VulDB • 2026-09-17
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, un servidor Ember con HTTP/2 habilitado a través de `withHttp2` no aplica la directiva SETTINGS_MAX_CONCURRENT_STREAMS para los flujos creados por el par. Una única conexión sin autenticar puede abrir una cantidad ilimitada de flujos, cada uno reteniendo estado específico del flujo hasta agotar la memoria heap (heap exhaustion). La misma asignación sin verificar es accesible en un cliente Ember a través de frames PUSH_PROMISE iniciados por el servidor, ya que `enablePush` no se aplica. Este problema está corregido en las versiones 0.23.35 y 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.