Wysoka

Acknowledgement extension out of memory

Ujawniono: 10.06.2026
Aktualizacja: 11.10.2026 12:22

Impact

Bad clients that always send a fixed batch value while the server is using the acknowledgement extension can cause the unacknowledged message queue to grow indefinitely, eventually resulting in an OutOfMemoryError.

Such bad clients would always send:

{
  "channel": "/meta/connect",
  ...
  "ext": { "ack": 1 }
}

The server would never clear the unacknowledged message queue, and one bad client can cause a server outage.

Patches

5.0.x - https://github.com/cometd/cometd/pull/2168 6.0.x - https://github.com/cometd/cometd/pull/2169 8.0.x - https://github.com/cometd/cometd/pull/2118

Workarounds

Disable the acknowledgement extension.

Resources

https://github.com/cometd/cometd/discussions/2116 https://github.com/cometd/cometd/issues/2117

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.cometd.java:cometd-java-server-common	>= 5.0.0, < 5.0.23, >= 6.0.0, < 6.0.19, >= 7.0.0, < 7.0.19, >= 8.0.0, < 8.0.9	5.0.23, 6.0.19, 7.0.19, 8.0.9

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-400
Platforma: Java / Kotlin (Maven)
Paczka: org.cometd.java:cometd-java-server-common
Ujawniono: 10.06.2026
Aktualizacja: 11.10.2026 12:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-cqgj-h8vf-4w59 - CC BY 4.0

Historia podatności: org.cometd.java:cometd-java-server-common

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację