CVE-2026-111103

Nome do Software Vulnerável e Versões Afetadas bandit versões 1.9.0 até 1.13.x

Descrição Um processo de limpeza inadequado durante exceções lançadas no manipulador HTTP/2 permite que um invasor remoto não autenticado ignore os limites de recursos por conexão. Quando um quadro gera um StreamError durante o processamento de um chunk TCP, a função handle data/3 em Bandit.HTTP2.Handler envia um RST STREAM e reverte o estado da conexão para a condição anterior ao processamento do chunk. Embora as streams abertas por quadros anteriores no chunk continuem a executar suas chamadas Plug, a contabilidade interna — incluindo contagens de stream, last stream id, timestamps de rapid-reset e o estado do decodificador HPACK — é revertida. Consequentemente, o max concurrent streams, max requests e o limitador de rapid-reset não contabilizam essas streams ativas, permitindo que um cliente exceda os limites de concorrência configurados e esgote os recursos de CPU e memória do servidor.

Recomendações Atualize o bandit para a versão 1.14.0 ou posterior. Como solução temporária, desative o HTTP/2 definindo http 2 options: [enabled: false] para evitar que o manipulador vulnerável seja executado.