CVE-2026-110354: falha de alta gravidade em HAProxy
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
21Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 7.5epss 0.8%
HAProxy 3 before 3.4.6 allows a remote unauthenticated attacker to cause a denial of service (persistent worker-thread CPU exhaustion) via an HTTP/1.1 chunked request. Although the H1 multiplexer drains the request before closing the stream, the parser repeatedly re-processes the same bytes without making progress. The affected thread stays busy at 100% CPU after timeouts expire and after the client disconnects, and repeated requests can consume all worker threads until the process is restarted.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
HAProxy · HAProxyHAProxy · HAProxy Enterprise EditionHAProxy Technologies · HAProxy Kubernetes Ingress ControllerHAProxy Technologies · Kubernetes Ingress Controller EnterpriseCVEs relacionadas — HAProxy
No mesmo produto, das mais perigosas para as menos.