CVE-2026-65624

Nome do Software Vulnerável e Versões Afetadas ninenines cowboy versões 2.0.0-pre.4 até 2.17.9

Description Um invasor remoto não autenticado pode esgotar a memória do processo de conexão via HTTP/1.1. O manipulador HTTP/1.1 em cowboy http impõe o limite max headers contando nomes de cabeçalhos distintos. Se uma solicitação contiver várias linhas de cabeçalho com o mesmo nome, os valores são concatenados em um único binário sob uma única chave de mapa, impedindo que o limite max headers seja atingido. Como não há limite para o número total de linhas de cabeçalho ou para o tamanho total em bytes do bloco de cabeçalho, um invasor pode enviar inúmeras linhas de cabeçalho com o mesmo nome para aumentar a memória binária do processo de conexão. Se o max heap size não estiver configurado, isso pode levar a condições de falta de memória (out-of-memory) na VM Erlang.

Recommendations Atualize o ninenines cowboy para a versão 2.18.0 ou posterior. Configure o limite max heap size para evitar que os processos de conexão consumam memória excessiva.