安全团队FoxIO披露HTTP/3“头部手风琴”拒绝服务攻击：QPACK请求头压缩在部分实现中未有效限制解码资源消耗，几百KB输入即可放大数千倍，导致内存耗尽、CPU死循环或崩溃。测试的10种实现中7种受影响，包括quic-go、Cloudflare quiche、lsquic、Bun、aioquic、h3和Wireshark。quic-go、quiche、lsquic、Wireshark已发布修复版本；Bun、h3、aioquic等披露时仍未修复。建议升级依赖，无法升级可暂时关闭HTTP/3。