Wysoka

Apache HttpComponents Core: HPackDecoder Unlimited Header List Size Before SETTINGS ACK

Ujawniono: 01.07.2026
Aktualizacja: 11.10.2026 13:20

Allocation of resources without limits or throttling in the HTTP/2 HPACK decoder in Apache HttpComponents Core (5.4.2 and earlier, 5.5-beta1 and earlier) allows an remote attacker to cause a denial of service through memory exhaustion by sending oversized compressed header blocks before the HTTP/2 SETTINGS acknowledgement causes the configured header list size limit to be applied.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.apache.httpcomponents.core5:httpcore5-h2	< 5.4.3, >= 5.5-alpha1, < 5.5-beta2	5.4.3, 5.5-beta2

Odnośniki

Ocena CVSS 7.5/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE): CWE-400
Platforma: Java / Kotlin (Maven)
Paczka: org.apache.httpcomponents.core5:httpcore5-h2
Ujawniono: 01.07.2026
Aktualizacja: 11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-v3jc-474w-2wm6 - CC BY 4.0

Historia podatności: org.apache.httpcomponents.core5:httpcore5-h2

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

To jedyna znana podatność tej paczki.

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację