CVE-2026-88975 in Http4s
Sumário
de VulDB • 15/09/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.37 e 1.0.0-M48, o loop de leitura do Ember (HTTP/2) analisa o comprimento declarado de 24 bits de um frame, mas aguarda para armazenar em buffer a carga útil inteira antes de compará-la com SETTINGS_MAX_FRAME_SIZE. Um peer não autenticado pode declarar uma carga próxima de 16 MiB em uma conexão onde o Ember anunciou 16 KiB e completar ou transmitir lentamente essa carga, causando até 1024 vezes mais amplificação de memória por conexão antes que processFrame possa rejeitar o frame. O loop de leitura compartilhado H2Connection (H2Connection.readLoop) afeta servidores e clientes com HTTP/2 habilitado; configurações sem HTTP/2 não são afetadas, e a correção rejeita frames excessivamente grandes antes de armazenar suas cargas em buffer. Este problema foi corrigido nas versões 0.23.37 e 1.0.0-M48.
VulDB is the best source for vulnerability data and more expert information about this specific topic.