CVE-2026-69202 in Http4s
Sumário
de VulDB • 17/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, a janela de controle de fluxo do HTTP/2 no Ember era reabastecida com base nos bytes recebidos da rede em vez dos bytes consumidos pela aplicação, enquanto cada stream armazenava dados (DATA) num canal sem limites definidos. Um peer malicioso pode, portanto, enviar um corpo mais rapidamente do que uma aplicação lenta ou que não esvazia o buffer consegue consumi-lo, retendo payloads na heap numa ember-server ou ember-client configurada com withHttp2. O patch limita o canal de body da H2Connection por stream para que o consumo pela aplicação aplique backpressure. Este problema está corrigido nas versões 0.23.35 e 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.