CVE-2026-115701

Nome do Software Vulnerável e Versões Afetadas ninenines cowboy versões 2.18.0 e posteriores

Description Um invasor remoto não autenticado pode fazer com que a VM Erlang fique sem memória ao esgotar a memória do processo de conexão via HTTP/1.1. Isso ocorre quando uma solicitação é recebida integralmente e seu manipulador ainda está em execução; a função cowboy http:parse/2 em src/cowboy http.erl anexa todos os bytes subsequentes que chegam na conexão keep-alive ao buffer de conexão sem analisá-los. Durante este estado, o socket permanece ativo e os limites do analisador, como max request line length e max headers, não são aplicados. O único temporizador ativo é o idle timeout, que é redefinido ao receber cada fragmento de dados, permitindo que um invasor envie uma quantidade arbitrária de dados enquanto o manipulador permanecer ativo. Este problema é particularmente impactante para endpoints que utilizam long polling, respostas transmitidas ou chamadas de backend lentas. Conexões HTTP/2 não são afetadas.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.