CVE-2026-91095 in Proxygen

摘要

由 VulDB • 2026-09-28

在 v2024.10.28.00 至 v2026.09.28.00 版本的 proxygen 中，HTTPTransaction::onWebTransportUniStream 和 HTTPTransaction::onWebTransportBidiStream API 可能返回流处理器已释放的流句柄。HQSession 随后将这些句柄安装为传输读取回调函数，从而导致对已释放内存的使用（Use-After-Free）。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: Meta
• 预定: 2026-09-14
• 披露: 2026-09-29
• 管理: 已接受
• 条目: VDB-411199
• CPE: 准备好
• CWE: CWE-416 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-91095
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-91095
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-91095/