p PatchFirst

CVE-2026-116078

CVE-2026-116078 · HTTP/2 request bodies made of 1-byte DATA frames amplify memory use in Bandit

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Allocation of Resources Without Limits or Throttling vulnerability in the HTTP/2 request body reader of mtrudel bandit allows an unauthenticated remote attacker to exhaust server memory via a request body sent as many 1-byte DATA frames. do_read_data/5 in lib/bandit/http2/stream.ex keeps every DATA frame payload as its own list element until the read returns. The :length option of read_body/2 counts body bytes, not frames, so a body of 1-byte frames costs a list cell and a binary term per byte. Interleaving the frames across up to 500 concurrent streams per connection keeps each stream consuming its frames as they arrive; in the reporter's test, 100 streams held 25 to 40 MiB of stream process memory for 5 MB sent. Only routes whose Plug reads the request body are affected, which includes any route behind Plug.Parsers. This issue affects bandit: from 0.3.1 before 1.14.1.

CVSS 8.7 · Alta · EPSS 0,5% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • bandit

    Versiones
    • ≥ 0.3.1, < 1.14.1: Afectada (semver)

    Actualiza a 1.14.1

  • bandit

    Versiones
    • ≥ c8dc1e97050cf359f61ed6cdd110f3cdaf1d6f5f, < 327bb02ff84171237e1aeff787930debd16155ee: Afectada (git)

    Sin corrección publicada

  • bandit Ubuntu:16.04:LTS

    Versiones
    • 0.13.2-1
    • 0.13.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:18.04:LTS

    Versiones
    • 1.4.0-0ubuntu2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:20.04:LTS

    Versiones
    • 1.5.1-3
    • 1.6.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:22.04:LTS

    Versiones
    • 1.6.2-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:24.04:LTS

    Versiones
    • 1.6.2-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:26.10

    Versiones
    • 1.7.10-3
    • 1.9.4-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • bandit Ubuntu:26.04:LTS

    Versiones
    • 1.7.10-2
    • 1.7.10-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →