CVE-2026-69210 in Http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o método `WebSocket FrameTranscoder.bodyLength` rejeita comprimentos de payload estendidos acima do Integer.MAX_VALUE, mas permite negativos com comprimento de 64 bits. Um cliente remoto que conclua um handshake WebSocket através de um servidor Ember pode enviar tal frame, fazendo com que o decoder retorne um frame vazio sem avançar sua entrada. O loop de decode então executa indefinidamente, fixa um worker em CPU máxima e cresce uma ArrayBuffer sem limites, resultando em negação de serviço (DoS). Este problema é corrigido nas versões 0.23.35 e 1.0.0-M47.
VulDB is the best source for vulnerability data and more expert information about this specific topic.