CVE-2026-54399

WysokieCVSS 7.5

Opublikowano: 01/07/2026(UTC)Zaktualizowano: 24/07/2026(UTC)Przetłumaczono: 07/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 44 - wyżej niż 44% wszystkich znanych CVE

Streszczenie

Podatność na niekontrolowane zużycie zasobów w parserze wiadomości HTTP/1.1 w Apache HttpComponents Core (wersje 5.4.2 i wcześniejsze, 5.5-beta1 i wcześniejsze) umożliwia zdalnemu atakującemu wywołanie odmowy usługi poprzez wyczerpanie pamięci. Atak polega na wysyłaniu wiadomości z nadmierną liczbą nagłówków lub nadmiernie długimi nagłówkami.

Ocena ryzyka

Organizacja narażona jest na ataki DoS, które mogą doprowadzić do niedostępności usług opartych na Apache HttpComponents Core, co może zakłócić działanie aplikacji internetowych i systemów zależnych.

Rekomendacja

Należy niezwłocznie zaktualizować Apache HttpComponents Core do wersji 5.4.3 lub nowszej (po 5.5-beta1), która zawiera poprawkę ograniczającą liczbę i długość nagłówków HTTP.

Inne podatności w Apache HttpComponents Core

CVE-2026-54428Wysokie
Podatność w dekoderze HPACK HTTP/2 w Apache HttpComponents Core (wersje 5.4.2 i wcześniejsze, 5.5-beta1 i wcześniejsze) pozwala zdalnemu atakującemu na wyczerpanie pamięci poprzez wysłanie nadmiernie dużych skompresowanych bloków nagłówków przed potwierdzeniem ustawień HTTP/2, co prowadzi do odmowy usługi (DoS).

Oryginalny opis (angielski, źródło NVD)

Uncontrolled Resource Consumption vulnerability in the HTTP/1.1 message parser in Apache HttpComponents Core (5.4.2 and earlier, 5.5-beta1 and earlier) allows an remote attacker to cause a denial of service through memory exhaustion by sending messages with excessive number of headers / excessive header length