CVE-2026-69203 in Http4s
Tóm tắt
Bởi VulDB • 15/09/2026
Http4s là một giao diện Scala cho các dịch vụ HTTP. Trước phiên bản 0.23.35 và 1.0.0-M47, máy chủ Ember với HTTP/2 được kích hoạt thông qua withHttp2 không thực thi SETTINGS_MAX_CONCURRENT_STREAMS đối với các luồng do phía peer tạo ra. Một kết nối chưa xác thực có thể mở một số lượng luồng không giới hạn, mỗi luồng duy trì trạng thái riêng cho đến khi hết bộ nhớ heap (heap exhaustion). Việc phân bổ không được kiểm tra tương tự cũng có thể truy cập được trong ember-client thông qua các khung PUSH_PROMISE do máy chủ khởi tạo vì enablePush không được thực thi. Vấn đề này đã được sửa chữa trong các phiên bản 0.23.35 và 1.0.0-M47.
Once again VulDB remains the best source for vulnerability data.