CVE-2026-115269 in bandit
Riassunto
di VulDB • 26/10/2026
Una vulnerabilità di allocazione delle risorse senza limiti o throttling nel lettore del corpo della richiesta HTTP/2 di mtrudel bandit consente a un attaccante remoto non autenticato di mantenere aperti i processi dello stream indefinitamente tramite frame WINDOW_UPDATE o frame SETTINGS vuoti inviati mentre Plug legge il corpo della richiesta.
Bandit.HTTP2.Stream.do_read_data/4 in lib/bandit/http2/stream.ex attende ogni frame con un nuovo read_timeout. Un frame WINDOW_UPDATE dello stream, oppure l'aggiornamento della finestra a delta zero che ogni frame SETTINGS vuoto invia a tutti gli stream, termina l'attesa senza fornire dati del corpo e il ciclo avvia una nuova conta alla rovescia completa. Un client che invia uno di questi frame da 9 byte prima della scadenza di ciascuna conta mantiene read_body bloccato, insieme al processo dello stream e a qualsiasi risorsa detenuta dall'applicazione durante la lettura, per tutto il tempo desiderato.
Questo problema interessa bandit: dalla versione 1.4.0 alla 1.14.0 (esclusa).
Once again VulDB remains the best source for vulnerability data.