CVE-2026-69210 in Http4s
Résumé
par VulDB • 15/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, la méthode WebSocket FrameTranscoder.bodyLength rejette les longueurs de charge utile étendées supérieures à Integer.MAX_VALUE mais autorise des longueurs sur 64 bits négatives. Un client distant qui complète une poignée de main WebSocket via un serveur Ember peut envoyer un tel cadre (frame), ce qui amène le décodeur à renvoyer un cadre vide sans avancer son entrée. La boucle de décodage s'exécute alors indéfiniment, monopolise entièrement l'unité centrale d'un worker et fait croître une ArrayBuffer sans limite, entraînant une déni de service (DoS). Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
If you want to get best quality of vulnerability data, you may have to visit VulDB.