CVE-2026-27135

nghttp2, C dilində yazılmış Hypertext Transfer Protocol versiya 2-nin tətbiqidir. Versiya 1.68.1-dən əvvəl, tətbiq tərəfindən istifadəçi yönümlü public API olan `nghttp2_session_terminate_session` və ya `nghttp2_session_terminate_session2` çağırıldıqda, nghttp2 kitabxanası daxil olan məlumatların oxunmasını dayandırır. Kitabxana bağlantı xətasına səbəb olan vəziyyəti aşkar etdikdə bu funksiyalar daxili olaraq çağırıla bilər. Daxili vəziyyət yoxlamasının (state validation) çatışmazlığına görə, həmin API-lərdən biri çağırıldıqdan sonra kitabxana qalan məlumatları oxumağa davam edir. Daha sonra FRAME_SIZE_ERROR xətasına səbəb olan yanlış formalaşdırılmış kadrın (malformed frame) alınması assertion failure-a səbəb olur. nghttp2 v1.68.1 assertion failure-ın qarşısını almaq üçün çatışmayan vəziyyət yoxlamasını əlavə edir. Heç bir məlum alternativ həll yolu mövcud deyil.