CVE-2026-69202 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, la fenêtre de contrôle du flux (flow-control window) d'Ember en HTTP/2 était réapprovisionnée en fonction des octets reçus depuis le réseau plutôt que des octets consommés par l'application, tandis que chaque flux stockait les données DATA dans un canal non borné. Un pair malveillant peut donc envoyer un corps de requête plus rapidement qu'une application lente ou ne vidant pas son tampon (non-draining) ne le consomme, entraînant la rétention des charges utiles en mémoire heap sur un serveur ember ou un client ember configurés avec withHttp2. Le correctif borne le canal du corps H2Connection par flux afin que la consommation de l'application applique une contre-pression (backpressure). Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.