CVE-2025-13836
ŚrednieStreszczenie
Podatność CVE-2025-13836 dotyczy sytuacji, w której podczas odczytu odpowiedzi HTTP z serwera, brak określonej ilości danych do odczytu skutkuje użyciem domyślnej wartości Content-Length. Może to pozwolić złośliwemu serwerowi na zmuszenie klienta do odczytu dużych ilości danych do pamięci.
Ocena ryzyka
Ryzyko dla organizacji polega na możliwości wystąpienia błędów OOM (Out of Memory) lub innych ataków typu DoS, co może prowadzić do niedostępności usług.
Rekomendacja
Zaleca się określenie maksymalnej ilości danych do odczytu w odpowiedziach HTTP oraz monitorowanie i ograniczanie ilości danych, które mogą być przetwarzane przez klienta.
Oryginalny opis (angielski, źródło NVD)
When reading an HTTP response from a server, if no read amount is specified, the default behavior will be to use Content-Length. This allows a malicious server to cause the client to read large amounts of data into memory, potentially causing OOM or other DoS.