CVE-2026-110499

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.3.6 até 1.13.x

Descrição Um invasor remoto não autenticado pode causar o crescimento ilimitado do uso de memória e CPU por conexão na implementação do HTTP/2. Isso ocorre porque o software redimensiona sua tabela de codificação HPACK com base no SETTINGS HEADER TABLE SIZE anunciado pelo cliente sem aplicar um limite no servidor, permitindo tamanhos de até 2^32-1 bytes. Como os cabeçalhos de resposta com valores distintos, como date ou content-length, são indexados e não removidos, a tabela cresce a cada resposta. Consequentemente, a função lookup by header na biblioteca HPAX verifica a tabela linearmente, resultando em um custo de CPU de O(N²) para servir N respostas em uma única conexão. O problema está localizado em Bandit.HTTP2.Connection (lib/bandit/http2/connection.ex), onde remote settings.header table size é passado para HPAX.resize/2, e a função encode headers codifica cada cabeçalho de resposta como :store.

Recomendações Atualize o bandit para a versão 1.14.0 ou posterior. Como solução temporária para versões 0.7.0 e posteriores, limite o número de solicitações que uma única conexão HTTP/2 pode atender definindo http 2 options: [max requests: 1000]. Alternativamente, desative o HTTP/2 definindo http 2 options: [enabled: false].