CVE-2026-15565
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
W Undertow stwierdzono wadę polegającą na możliwości wywołania błędu Out of Memory przez zdalnego atakującego na punktach końcowych WebSocket bez uwierzytelnienia. Dotyczy to każdej klasy @ServerEndpoint, która ma metodę @OnMessage. Atakujący może przeprowadzić atak DoS bez uwierzytelnienia, używając tylko standardowego uzgadniania WebSocket.
Ocena ryzyka
Ryzyko obejmuje wyczerpanie pamięci serwera i niedostępność usług, co może prowadzić do przerwania działania aplikacji.
Rekomendacja
Zaleca się zaktualizowanie Undertow do wersji z poprawką oraz wdrożenie ograniczeń dla połączeń WebSocket, takich jak limity rozmiaru wiadomości i uwierzytelnianie.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Undertow. A remote attacker can cause Out of Memory on websockets endpoint without authentication on any @ServerEndpoint class that has any @OnMessage method. This allows an attacker to cause Denial of Service attack without authentication and using only a standard WebSocket handshake.