安全
迟到 9 + length 字节的检查：CVE-2026-88975，http4s Ember HTTP/2 帧校验为何形同虚设
先知社区0 次浏览
CVE-2026-88975（CVSS 3.1 7.5，CWE-400）是 http4s Ember HTTP/2 实现的未认证资源消耗漏洞：读循环在缓冲完整 9 + length 字节之前不做任何帧大小校验，对端可以在 9 字节帧头里声明一个接近 24 位上限的单帧长度，并持续发送接近 16 MiB、但仍不足额的负载，使当前未完成帧的累积缓冲 acc 驻留约 16 MiB——约为 16 KiB
原文：https://xz.aliyun.com/news/92896上一篇从 ZCode Trust Folder Bypass 0day 漏洞看 Coding Agent 的 Trust Folder 安全问题下一篇编码斜杠击穿 Go 路由器：ServeMux 双视图解析与路径穿越
