CVE-2026-108525

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.3.1 até 1.13.x

Description Um invasor remoto não autenticado pode esgotar a memória do servidor enviando quadros DATA que excedem a janela de recebimento anunciada na implementação HTTP/2. O invasor pode solicitar uma resposta maior que a janela inicial de 65.535 bytes e reter o WINDOW UPDATE, fazendo com que o processo de fluxo bloqueie durante o envio e pare de ler. Subsequentemente, a inundação de pequenos quadros DATA nesse fluxo faz com que cada quadro seja enfileirado na caixa de correio do fluxo até que o nó BEAM fique sem memória. Isso ocorre porque a função Bandit.HTTP2.Connection.handle frame/3 encaminha os quadros DATA para o processo de fluxo sem consultar a janela de recebimento, e a função Bandit.HTTP2.FlowControl.compute recv window/2 reabastece a janela conforme os dados chegam, em vez de quando são consumidos, não disparando um FLOW CONTROL ERROR em caso de violação.

Recommendations Atualize o bandit para a versão 1.14.0 ou posterior. Como solução temporária para versões 0.7.0 e posteriores, desative o HTTP/2 configurando http 2 options: [enabled: false].