CVE-2026-73493

Nome do Software Vulnerável e Versões Afetadas http4s-blaze-server versões anteriores a 0.23.18 http4s-blaze-server versões anteriores a 1.0.0-M42

Description O software agrega fragmentos de mensagens WebSocket recebidas sem limitar o tamanho total ou a quantidade de fragmentos. Um cliente pode enviar uma mensagem fragmentada não terminada, causando o crescimento ilimitado do heap na JVM do servidor. Isso resulta em negação de serviço através de um OutOfMemoryError na thread do seletor blaze. A configuração maxWebSocketBufferSize não previne isso, pois limita apenas frames individuais e não o agregado. Fragmentos pequenos amplificam o impacto devido ao overhead de objetos por frame, permitindo que um volume modesto de dados esgote o heap.

Recommendations Atualize para a versão 0.23.18 ou posterior. Atualize para a versão 1.0.0-M42 ou posterior.