CVE-2026-116078

Nome do Software Vulnerável e Versões Afetadas bandit versões 0.3.1 até 1.14.0

Description Um invasor remoto não autenticado pode esgotar a memória do servidor enviando um corpo de requisição composto por inúmeros frames DATA de 1 byte. O problema ocorre no leitor de corpo de requisição HTTP/2, onde a função do read data/5 em lib/bandit/http2/stream.ex armazena cada payload de frame DATA como um elemento de lista individual até que a operação de leitura retorne. Como a opção :length de read body/2 rastreia o número total de bytes e não o número de frames, um grande volume de frames pequenos cria uma sobrecarga de memória significativa por byte. Esse efeito é amplificado quando os frames são intercalados em até 500 streams simultâneos por conexão. Este problema afeta qualquer rota onde o Plug leia o corpo da requisição, incluindo aquelas que utilizam Plug.Parsers para requisições POST, PUT e PATCH.

Recommendations Atualize o bandit para a versão 1.14.1 ou posterior. Como solução temporária para versões 0.7.0 e posteriores, desative o HTTP/2 configurando http 2 options: [enabled: false].