CVE-2026-111103

mtrudel bandit'in HTTP/2 işleyicisindeki fırlatılan istisna durumunda hatalı temizleme zafiyeti, kimliği doğrulanmamış bir uzak saldırganın, biri akış hatası oluşturan birkaç çerçeve taşıyan tek bir TCP yazma işlemi aracılığıyla bağlantı başına kaynak sınırlarını atlatmasına olanak tanır. Bir çerçeve, bir veri bloğunun ortasında StreamError oluşturduğunda, Bandit.HTTP2.Handler.handle_data/3 RST_STREAM gönderir ve veri bloğundan önceki bağlantı durumuyla devam ederek geri kalanını düşürür. Veri bloğundaki daha önceki çerçeveler tarafından açılan akışlar Plug çağrılarını çalıştırmaya devam eder; ancak akış sayıları, last_stream_id, hızlı sıfırlama zaman damgaları, HPACK kod çözücü durumu ve tampon geri alınır, bu nedenle max_concurrent_streams, max_requests ve hızlı sıfırlama sınırlayıcı bu akışları asla görmez. Her yazma işleminde max_concurrent_streams değerinden bir adet fazla HEADERS çerçevesi gönderen bir istemcinin fazladan olanı reddedilir ve diğerleri unutulur: 10 sınırı ile böyle beş yazma işlemi aynı anda 50 Plug çağrısını çalıştırır. Bu sorun bandit'in 1.9.0 sürümünden 1.14.0 öncesine kadar olan sürümlerini etkilemektedir.