CVE-2026-69203 in Http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, um servidor Ember com o HTTP/2 habilitado através de `withHttp2` não aplica a configuração `SETTINGS_MAX_CONCURRENT_STREAMS` para fluxos criados pelo peer (parceiro). Uma única conexão não autenticada pode abrir um número ilimitado de fluxos, cada um retendo estado por fluxo até exaurir a memória heap. A mesma alocação sem verificação é acessível em um cliente Ember através de frames PUSH_PROMISE iniciados pelo servidor, pois o `enablePush` não é aplicado corretamente. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.