研究人员发现HTTP/3服务器在QPACK头部压缩实现中存在严重放大攻击漏洞。远程未认证客户端可通过精心构造的请求强制服务器分配数十到数千倍于发送流量的内存，单个连接足以导致默认配置下服务器内存溢出或服务挂起。在调查的十个HTTP/3实现中，七个存在此漏洞。