CVE-2026-81875
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
HAPI FHIR to kompletna implementacja standardu HL7 FHIR zapewniającego interoperacyjność opieki zdrowotnej w Javie. Przed wersją 6.9.12 SHCParser w org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java może zużywać kontrolowaną przez osobę atakującą zawartość Smart Health Card JWT, której nagłówek zawiera zip: „DEF” i której mały ładunek raw-DEFLATE rozszerza się do bardzo dużej wartości. Funkcja SHCParser.decodeJWT() przekazuje zdekodowany ładunek do metody SHCParser.inflate(), która gromadzi wszystkie zdekompresowane bajty w strumieniu ByteArrayOutputStream bez limitu rozmiaru wyjściowego przed analizą JSON, a metoda SHCParser.decompress() zawiera ten sam nieograniczony wzorzec. Aplikacja lub usługa walidatora, która akceptuje zawartość SHC dostarczoną przez osobę atakującą, może zatem ucierpieć z powodu nadmiernej alokacji sterty, poważnej presji zbierania elementów bezużytecznych, niepowodzenia żądania, niestabilności procesu lub jego zakończenia. Ten problem został rozwiązany w wersji 6.9.12.
>_ Słabości (CWE)
>_ Referencje
- https://github.com/hapifhir/org.hl7.fhir.core/commit/fbb94216e0ad21ded75be77e5e20242ba194e83f
- https://github.com/hapifhir/org.hl7.fhir.core/pull/2493
- https://github.com/hapifhir/org.hl7.fhir.core/releases/tag/6.9.11
- https://github.com/hapifhir/org.hl7.fhir.core/releases/tag/6.9.12
- https://github.com/hapifhir/org.hl7.fhir.core/security/advisories/GHSA-3w98-rrpr-fprr
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org