CVE-2026-71397

Nome do Software Vulnerável e Versões Afetadas grpc server versões 1.0.0 até 1.0.5

Description Um invasor não autenticado pode causar exaustão de memória e travar o nó enviando um corpo de requisição excessivamente grande via streaming do cliente ou streaming bidirecional. O problema ocorre porque o caminho de leitura de streaming em Elixir.GRPC.Server.Adapters.Cowboy.Handler:info/3 não impõe o limite max body size, ao contrário do caminho de leitura unária. Especificamente, Elixir.GRPC.Server.Adapters.Cowboy:reading stream/1 anexa os chunks recebidos a um buffer até que uma mensagem completa com prefixo de comprimento seja formada. Ao declarar uma mensagem muito grande e enviá-la através de múltiplos frames DATA HTTP/2 pequenos, um invasor pode forçar o buffer a crescer sem limite, levando à exaustão de memória do BEAM e ao travamento completo do nó.

Recommendations Atualize o grpc server para a versão 1.0.6.