CVE-2026-83745

Apache Thrift nodejs ve D lang bağlamalarında aşırı boyut değeriyle bellek tahsisi ve uzunluk parametresi tutarsızlığının hatalı yönetimi zafiyeti bulunmaktadır. Her iki bağlamın WebSocket sunucu taşıyıcıları, yük uzunluğunu çerçeve başlığından okur ve baytların gelip gelmediğini kontrol etmeden hemen o kadar bayt tahsis eder. Bu nedenle tek bir ~14 baytlık çerçeve, beyan ettiği kadar belleği rezerve eder; bu değer Node.js sunucusu için 513 MiB ve D taşıyıcısı için 2 GiB olarak ölçülmüştür ve Node.js durumunda bağlantı sonrasında açık bırakıldığından çerçeve basitçe tekrar gönderilebilir. Bu sorun Apache Thrift 0.25.0 öncesini etkilemektedir. Kullanıcıların sorunu gideren 0.25.0 sürümüne yükseltmeleri önerilir.