يسمح استهلاك الموارد غير المنضبط لمهاجم عن بُعد غير مصرح له بتثبيت عمليات تدفق HTTP/2 إلى أجل غير مسمى. من خلال إرسال تدفق من إطارات `WINDOW UPDATE` صغيرة أو إطارات `SETTINGS` فارغة، يمكن للمهاجم إعادة تعيين الموعد النهائي البالغ 15 ثانية لعمليات التدفق المحجوبة. يحدث هذا من خلال مسارين مستقلين: أحدهما حيث تقوم `Bandit.HTTP2.Connection.finish data/5` بإعادة جدولة عمليات الإرسال المتقدمة جزئيًا في `pending sends` بطابع زمني `expires at` جديد، والآخر حيث تقوم `Bandit.HTTP2.Stream.send data/3` بالتكرار عند كل `WINDOW UPDATE` للتدفق وإعادة ضبط `read timeout` جديد. يحافظ هذا السلوك على بقاء عملية التدفق المحجوبة وحالة Plug والموارد المرتبطة بها نشطة، مما قد يؤدي إلى استنفاد عمليات الخادم والذاكرة.