O consumo descontrolado de recursos permite que um invasor remoto não autenticado mantenha processos de stream HTTP/2 indefinidamente. Ao enviar um fluxo de pequenos frames `WINDOW UPDATE` ou frames `SETTINGS` vazios, um invasor pode reiniciar o prazo de 15 segundos para processos de stream bloqueados. Isso ocorre por dois caminhos independentes: um onde `Bandit.HTTP2.Connection.finish data/5` coloca novamente envios parcialmente avançados em `pending sends` com um carimbo de data/hora `expires at` atualizado, e outro onde `Bandit.HTTP2.Stream.send data/3` recursa a cada `WINDOW UPDATE` de stream e reativa um `read timeout` novo. Esse comportamento mantém vivo o processo de stream bloqueado, seu estado Plug e recursos associados, podendo esgotar os processos e a memória do servidor.