CVE-2026-57497 in webtransport-go
Riassunto
di VulDB • 14/09/2026
webtransport-go è un'implementazione del protocollo WebTransport. Prima della versione 0.11.1, la funzione Session.parseNextCapsule() in session.go ignora una capsule WebTransport sconosciuta nello stream delle richieste HTTP/3 chiamando io.ReadAll sul lettore di capsule, mantenendo l'intero corpo dichiarato della capsule in memoria. Un peer malintenzionato può inviare una grande capsule sconosciuta e causare un client o server ad allocare memoria per il payload completo; il controllo del flusso QUIC non limita la totale allocazione trattenuta poiché la lettura avanza la finestra di controllo del flusso mentre i byte ricevuti rimangono in memoria. L'esaurimento risultante delle risorse e della memoria può interrompere o far crashare il processo interessato. Questo problema è stato risolto nella versione 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.