EEF-CVE-2026-49754 漏洞概述 漏洞名称: EEF-CVE-2026-49754 漏洞类型: 资源分配无限制或节流漏洞 漏洞描述: 在 elixir-mint 中，允许攻击者控制的 HTTP/2 服务器耗尽 Mint 客户端中的内存（HTTP/2 连续帧累积）。 严重程度: 8.2 (High) CVSS 评分: CVSS:3.4/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VA:N/SC:N/SI:N/SA:N 影响范围 受影响软件: Mint (HTTP/2 客户端) 影响版本: 从 0.1.0 到 1.9.0 影响描述: 当 Mint 的 HTTP/2 接收路径观察到没有 END_HEADERS 标志的 HEADERS 帧时，未解析的 header-block 片段被存储在 中，并且该流上的每个后续 CONTINUATION 帧都被附加到累加器中。在接收路径中，累加器没有每流大小限制，没有 CONTINUATION 帧计数限制，并且 maxheaderlistsize 仅对出站请求强制执行，对入站 header 块没有限制（默认是无限）。 攻击场景: 恶意或受损的 HTTP/2 服务器可以发送连续的 CONTINUATION 帧序列（每个帧最多为对等方通告的 SETTINGS_MAXFRAME_SIZE），并将客户端的内存耗尽到任意大小，导致内存耗尽和 BEAM 进程死亡。单个连接到攻击者控制的 HTTP/2 端点就足够了。 修复方案 临时解决方案: 限制 Mint 对不受信任服务器的 HTTP/2 连接，通过传递 到 。这避免了易受攻击的 HTTP/2 接收路径，但代价是丢失了那些连接的 HTTP/2。