CVE-2026-5680
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W Undertow wykryto błąd, który zdalny atakujący może wykorzystać, wysyłając specjalnie spreparowane wiadomości WebSocket z negocjacją permessage-deflate. Prowadzi to do nadmiernego zużycia pamięci przez metodę PerMessageDeflateFunction.largerBuffer(), która stosuje podwajanie wykładnicze, co skutkuje odmową usługi (DoS) dla aplikacji.
Ocena ryzyka
Atakujący może spowodować wyczerpanie pamięci, co prowadzi do niedostępności aplikacji i przerw w świadczeniu usług.
Rekomendacja
Zaktualizuj Undertow do wersji z poprawką i rozważ ograniczenie użycia kompresji permessage-deflate, jeśli nie jest niezbędna.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Undertow. A remote attacker could exploit this vulnerability by sending specially crafted WebSocket messages with permessage-deflate negotiated. This could lead to excessive memory consumption due to the PerMessageDeflateFunction.largerBuffer() method using exponential doubling, resulting in a Denial of Service (DoS) for the affected application.