CVE-2026-111103— Bandit HTTP/2 流错误恢复绕过连接限制漏洞
一分钟漏洞结论
影响对象
mtrudel bandit
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 mtrudel 开发的 Bandit 库的 HTTP/2 处理器中存在“抛出异常时清理不当”的漏洞，允许未认证的远程攻击者通过单次 TCP 写操作（该操作携带多个帧，其中至少一个帧会引发流错误）绕过每连接资源限制。 当某个帧在数据块（chunk）处理中途引发 StreamError 时，Bandit.HTTP2.Handler.handle_data/3 会发送 RST_STREAM 并回滚到该数据块之前的连接状态，丢弃剩余数据。由该数据块中较早帧所打开的流仍会继续执行其 Plug 调用，但流计数、last_s
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-111103 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
HTTP/2 StreamError recovery rolls back connection state and bypasses per-connection limits in Bandit
来源: CVE Program / CVE List V5
Vulnerability Description
Improper Cleanup on Thrown Exception vulnerability in the HTTP/2 handler of mtrudel bandit allows an unauthenticated remote attacker to bypass per-connection resource limits via a single TCP write that carries several frames, one of which raises a stream error.
When a frame raises StreamError partway through a chunk, Bandit.HTTP2.Handler.handle_data/3 sends RST_STREAM and continues with the connection state from before the chunk, dropping the rest of it. Streams opened by earlier frames in the chunk keep running their Plug calls, but the stream counts, last_stream_id, the rapid-reset timestamps, the HPACK decoder state and the buffer roll back, so max_concurrent_streams, max_requests and the rapid-reset limiter never see those streams. A client that sends one HEADERS frame more than max_concurrent_streams in each write has the extra refused and the others forgotten: with a limit of 10, five such writes run 50 Plug calls at once.
This issue affects bandit: from 1.9.0 before 1.14.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
抛出异常的清理不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-111103 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-111103 的情报信息
请登录查看更多情报信息。
CVE-2026-111103 其他参考 (5)
同批安全公告 · mtrudel · 2026-10-26 · 共 11 条
| CVE-2026-114213 | 8.7 HIGH | Bandit WebSocket 1 字节续传帧绕过消息大小限制漏洞 |
| CVE-2026-109584 | 8.7 HIGH | Bandit HTTP/2 远程拒绝服务漏洞 |
| CVE-2026-111101 | 8.7 HIGH | Bandit 1 字节分块请求内存放大漏洞 |
| CVE-2026-113436 | 8.7 HIGH | Bandit 中 Content-Length 和 Host 端口二次大数解析漏洞 |
| CVE-2026-108529 | 8.7 HIGH | Bandit 远程拒绝服务漏洞 |
| CVE-2026-108525 | 8.7 HIGH | Bandit HTTP/2 流控制未执行导致拒绝服务漏洞 |
| CVE-2026-115269 | 8.7 HIGH | Bandit HTTP/2 请求体读取超时重置漏洞 |
| CVE-2026-110499 | 8.7 HIGH | Bandit HPACK 编码器表大小未受限制导致拒绝服务漏洞 |
| CVE-2026-114216 | 6.3 MEDIUM | Bandit 分块扩展请求走私漏洞 |
| CVE-2026-110314 | 6.3 MEDIUM | Bandit WebSocket 服务器关闭后仍接收数据漏洞 |