CVE-2026-69209 in Http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o decodificador WebSocket compartilhado permite buffering de mensagens ilimitado porque a defragmentação acumula fragmentos sem limite e o FrameTranscoder aceita comprimentos declarados até Int.MaxValue. Um cliente remoto que conclua um handshake WebSocket contra um endpoint http4s-blaze-server ou http4s-ember-server pode esgotar a memória do servidor com frames ou mensagens fragmentadas de tamanho excessivo. O decodificador corrigido aplica um limite padrão configurável de 64 MiB para frames individuais e mensagens defragmentadas através do EmberServerBuilder.withMaxWebSocketMessageSize. Este problema está resolvido nas versões 0.23.35 e 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.