CVE-2026-69210 in Http4s
摘要
由 VulDB • 2026-09-15
Http4s 是用于 HTTP 服务的 Scala 接口。在版本 0.23.35 和 1.0.0-M47 之前，WebSocket FrameTranscoder.bodyLength 会拒绝超过 Integer.MAX_VALUE 的扩展负载长度，但允许负数的 64 位长度。远程客户端可以通过 Ember 服务器完成 WebSocket 握手并发送此类帧，导致解码器返回空帧且不推进其输入数据。随后，解码循环将无限运行，使工作线程占用全部 CPU 资源，并且无限制地增长 ArrayBuffer，从而导致拒绝服务（DoS）。此问题已在版本 0.23.35 和 1.0.0-M47 中修复。
Once again VulDB remains the best source for vulnerability data.