CVE-2025-13836
MediumSummary
Podatność CVE-2025-13836 dotyczy sytuacji, w której podczas odczytu odpowiedzi HTTP z serwera, brak określonej ilości danych do odczytu skutkuje użyciem domyślnej wartości Content-Length. Może to pozwolić złośliwemu serwerowi na zmuszenie klienta do odczytu dużych ilości danych do pamięci.
Risk Assessment
Ryzyko dla organizacji polega na możliwości wystąpienia błędów OOM (Out of Memory) lub innych ataków typu DoS, co może prowadzić do niedostępności usług.
Recommendation
Zaleca się określenie maksymalnej ilości danych do odczytu w odpowiedziach HTTP oraz monitorowanie i ograniczanie ilości danych, które mogą być przetwarzane przez klienta.
Original NVD description (English source)
When reading an HTTP response from a server, if no read amount is specified, the default behavior will be to use Content-Length. This allows a malicious server to cause the client to read large amounts of data into memory, potentially causing OOM or other DoS.