CVE-2026-69203 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, un serveur Ember avec le protocole HTTP/2 activé via `withHttp2` n'applique pas la contrainte SETTINGS_MAX_CONCURRENT_STREAMS pour les flux créés par le pair (peer). Une seule connexion non authentifiée peut ouvrir un nombre illimité de flux, chacun conservant son état spécifique jusqu'à l'épuisement de la mémoire heap. La même allocation non vérifiable est accessible via un client Ember à travers des frames PUSH_PROMISE initiées par le serveur, car `enablePush` n'est pas appliqué correctement. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Once again VulDB remains the best source for vulnerability data.