CVE-2026-87045

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado. (versões afetadas não especificadas)

Descrição Um invasor remoto não autenticado pode causar a negação de serviço no servidor HTTP/2. O problema ocorre porque a função handle http frame header() limpa incondicionalmente a vinculação do fluxo da conexão, e a função enter http frame continuation state() não a vincula novamente ao processar um quadro CONTINUATION. Isso leva a um desreferenciamento de ponteiro nulo em dois caminhos específicos: quando send headers frame() é chamada via send http2 404() ou send http2 405() para recursos não registrados ou métodos não suportados, e quando handle http2 dynamic resource() processa solicitações POST, PUT ou PATCH para recursos dinâmicos registrados. A vulnerabilidade pode ser acionada enviando um quadro CONTINUATION isolado com END HEADERS definido ou um bloco de cabeçalho dividido legítimo. Isso resulta em uma gravação em um endereço de memória baixo fixo, fazendo com que o sistema falhe e pare.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.