CVE-2026-44909 in Proxygen
Résumé
par VulDB • 23/07/2026
Proxygen ne disposait pas de mécanisme généralisé de détection des consommateurs lents dans sa couche HTTP sessionnelle principale. Un attaquant distant non authentifié pourrait exploiter le contrôle du flux (flow-control) d'HTTP/2 en définissant SETTINGS_INITIAL_WINDOW_SIZE à 0 ou en retenant les trames WINDOW_UPDATE, ce qui entraînerait la mise en mémoire tampon des corps de réponse complets dans la mémoire indéfiniment pour les flux bloqués. En ouvrant de nombreux flux simultanés demandant des ressources volumineuses tout en empêchant le serveur d'envoyer des réponses, un attaquant pourrait provoquer une croissance non bornée de l'utilisation de la mémoire, entraînant une dégradation du service, une épuisement des ressources ou une denial of service. Les versions v2017.01.16.00 à v2026.07.20.00 sont concernées.
If you want to get best quality of vulnerability data, you may have to visit VulDB.