CVE-2026-123635

Nome do Software Vulnerável e Versões Afetadas elixir-grpc grpc server versões 1.0.0 a 1.0.9

Description Ocorre um vazamento de recurso na função grpc stream h (grpc server/src/grpc stream h.erl) quando o servidor recusa uma chamada prematuramente, como quando o método não está implementado ou o corpo da requisição excede a variável max body size. Nesses casos, o Cowboy descarta os frames DATA ainda em trânsito sem retornar seus bytes para a janela de controle de fluxo da conexão. Consequentemente, a janela de conexão eventualmente esvazia, fazendo com que todas as chamadas subsequentes nessa conexão HTTP/2 compartilhada travem e aguardem até seus prazos limite. Este problema afeta apenas a conexão compartilhada específica e não impacta outras conexões.

Recommendations Atualize o elixir-grpc grpc server para a versão 1.1.0. Como solução temporária, implemente um manipulador de fluxo (stream handler) do Cowboy à frente do grpc stream h usando a opção de adaptador stream handlers: [MyHandler, :grpc stream h]. Na função init/3, o manipulador deve chamar :cowboy stream.init/3 e emitir um comando {:flow, size} quando a requisição tiver um corpo, onde size corresponde ao max frame size received do Cowboy.