CVE-2026-74836

Published: Ago 20, 2026 Last Modified: Ago 20, 2026

ExploitDB:

Other exploit source:

Google Dorks:

HIGH 8,7

Source: 6b3ad84c-e1a6-4bf7-a703-f496b71e49db

Attack Vector: network

Attack Complexity: low

Privileges Required: none

User Interaction: none

Confidentiality: N/A

Integrity: N/A

Availability: N/A

Description

AI Translation Available

Allocation of Resources Without Limits or Throttling vulnerability in mtrudel bandit allows an unauthenticated remote attacker to pin an unbounded number of HTTP/2 stream processes indefinitely via connection-level flow control. When a stream's response body outruns the HTTP/2 connection-level send window (default 65,535 bytes, shared across all streams on the connection), Bandit.HTTP2.Connection queues the remaining bytes and a reply closure in pending_sends and the stream process blocks forever inside a synchronous call to the connection process. Nothing bounds that wait and nothing purges the queue: a client RST_STREAM for the blocked stream is delivered to its mailbox but never read while it is stuck inside the call, so cancelling frees nothing, and periodic PING frames keep the transport-level read timeout from ever firing. The equivalent block on the stream-level send window is already bounded at 15 seconds; the connection-level path had no such bound.

Each stalled stream pins its process, Plug state, and any resource the Plug holds across the blocked write, such as a pooled upstream connection in a reverse-proxy Plug. The attacker chooses any endpoint whose response exceeds the connection window (common for most non-trivial payloads), grants a generous stream-level window so only the connection window limits it, and keeps the connection alive with periodic PINGs; the primitive is repeatable across streams and connections at the cost of one idle socket each.

This issue affects bandit: from 0.3.4 before 1.12.5.

AI Generated Translation

Vulnerabilità di Allocazione delle Risorse Senza Limiti o Throttling in mtrudel bandit consente a un attaccante remoto non autenticato di fissare un numero illimitato di processi di stream HTTP/2 indefinitamente tramite il controllo del flusso a livello di connessione. Quando il corpo della risposta di uno stream supera la finestra di invio a livello di connessione HTTP/2 (predefinito 65.535 byte, condivisa tra tutti gli stream sulla connessione), Bandit.HTTP2.Connection mette in coda i byte rimanenti e una chiusura di risposta in pending_sends e il processo dello stream si blocca per sempre all’interno di una chiamata sincrona al processo di connessione. Nulla limita quell’attesa e nulla svuota la coda: un RST_STREAM del client per lo stream bloccato viene consegnato alla sua mailbox ma non viene mai letto mentre rimane bloccato nella chiamata, quindi l’annullamento non libera nulla, e i frame PING periodici impediscono che il timeout di lettura a livello di trasporto venga mai attivato. Il blocco equivalente a livello di finestra di invio dello stream è già limitato a 15 secondi; il percorso a livello di connessione non aveva tale limite.

Ogni stream bloccato blocca il suo processo, lo stato Plug e qualsiasi risorsa detenuta dal Plug durante la scrittura bloccata, come una connessione upstream in pool in un Plug reverse-proxy. L’attaccante sceglie qualsiasi endpoint la cui risposta superi la finestra della connessione (comune per la maggior parte dei payload non banali), concede una finestra di livello di stream generosa in modo che sia limitata solo dalla finestra della connessione, e mantiene la connessione attiva con PING periodici; questa primitive può essere ripetuta su più stream e connessioni a costo di un socket inattivo ciascuno.

Questo problema riguarda bandit: da versione 0.3.4 prima della 1.12.5.