CVE-2026-44242

NiskieCVSS 3.7

Opublikowano: 12/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

W Micronaut Framework przed wersją 4.10.22 bundleCache jest kluczowany przez (Locale, baseName), gdzie locale pochodzi z nagłówka HTTP Accept-Language. W aplikacjach, które jawnie rejestrują ziarno ResourceBundleMessageSource i zwracają odpowiedzi błędów HTML, nieuwierzytelniony atakujący może wyczerpać pamięć sterty, wysyłając żądania z dużą liczbą unikalnych wartości Accept-Language, z których każda tworzy nowy wpis w nieograniczonym bundleCache.

Ocena ryzyka

Nieuwierzytelniony atakujący może doprowadzić do wyczerpania pamięci i odmowy usługi (DoS) aplikacji poprzez zalewanie jej żądaniami z unikalnymi wartościami Accept-Language.

Rekomendacja

Zaktualizuj Micronaut Framework do wersji 4.10.22. Rozważ ograniczenie rozmiaru bundleCache lub walidację nagłówka Accept-Language jako środek obronny w głąb.

Inne podatności w Micronaut Framework

CVE-2026-44241Wysokie
Podatność w Micronaut Framework pozwala nieuwierzytelnionemu atakującemu na wyczerpanie pamięci sterty poprzez wysyłanie żądań z unikalnymi tagami językowymi w nagłówku Accept-Language. Mechanizm buforowania DateTimeFormatter w TimeConverterRegistrar używa nieograniczonej mapy ConcurrentHashMap, której klucz zawiera lokalizację z nagłówka HTTP, co umożliwia generowanie nieograniczonej liczby wpisów w pamięci podręcznej.

Oryginalny opis (angielski, źródło NVD)

Micronaut Framework is a JVM-based full stack Java framework designed for building modular, easily testable JVM applications. Prior to 4.10.22, the bundleCache is keyed by (Locale, baseName) where the locale originates from the HTTP Accept-Language header. In applications that explicitly register a ResourceBundleMessageSource bean and serve HTML error responses, an unauthenticated attacker can exhaust heap memory by sending requests with large numbers of unique Accept-Language values, each causing a new entry in the unbounded bundleCache. This vulnerability is fixed in 4.10.22.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS