CVE-2026-10725

Nome do Software Vulnerável e Versões Afetadas Protocol::HTTP2 versões anteriores a 1.13

Description O software é suscetível a um HTTP/2 Bomb, onde uma solicitação pequena pode expandir-se em um grande consumo de memória do servidor. Isso ocorre porque o caminho HPACK de entrada carece de um limite de tamanho de lista de cabeçalhos. Especificamente, a função headers decode() cria uma cópia completa de chave e valor para cada referência indexada sem realizar uma verificação de tamanho. Além disso, a função stream header block add() anexa cada quadro CONTINUATION ao buffer por fluxo sem limites. Embora a configuração MAX HEADER LIST SIZE seja anunciada, ela não é consultada durante o processo de decodificação.

Recommendations Atualize para uma versão posterior a 1.12.