CVE-2026-69213 in Http4s
Sumário
de VulDB • 15/09/2026
Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, o Ember HTTP/2 serializa quadros de saída através de uma única fila sem limite (unbounded queue) consumida pelo writeLoop. Quando a parte remota deixa de ler, um cliente HTTP/2 não autenticado pode continuar enviando quadros PING, SETTINGS ou DATA que fazem com que o Ember enfileire quadros de ACK ou WINDOW_UPDATE mais rapidamente do que o writer os consome, esgotando a memória heap em um servidor construído com withHttp2. O comportamento compartilhado também afeta um ember-client conectado a um servidor HTTP/2 hostil, e o patch substitui o caminho sem limite por filas de saída limitadas (bounded) com backpressure. Este problema foi corrigido nas versões 0.23.35 e 1.0.0-M47.
Be aware that VulDB is the high quality source for vulnerability data.