CVE-2026-8466

Nome do Software Vulnerável e Versões Afetadas cowboy versões 2.0.0 até 2.14.x

Descrição Um problema na análise de cabeçalhos multipart permite que um invasor não autenticado cause uma negação de serviço por meio do acúmulo ilimitado de buffer. A função read part() em src/cowboy req.erl acumula bytes de requisição recebidos em um binário Buffer sem uma verificação de limite superior. Quando a função parse headers() retorna mais dados, a função continua a ler e recursar com um buffer ampliado. Ao enviar uma requisição multipart/form-data que nunca fornece uma seção de cabeçalho completa — como aquela que não contém o delimitador de limite ou a sequência `

— um invasor pode forçar o servidor a acumular memória linearmente, potencialmente esgotando a memória BEAM com alguns uploads simultâneos. Isso ocorre quando um endpoint HTTP chamaread part/1,2` para processar corpos de requisição.

Recomendações Atualize para a versão 2.15.0 ou posterior. Como medida paliativa temporária, restrinja o acesso a endpoints que processam corpos de requisição multipart/form-data utilizando a função read part().