CVE-2026-93572
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
## Podsumowanie
`RedisArrayAggregator` dodał ostatnio limity `maxElements` i `maxNestedArrayDepth`, aby naprawić publiczne powiadomienia o wyczerpaniu zasobów Redis. Granice są niezależne, ale alokator pozostaje chętny: każdy dodatnio zagnieżdżony nagłówek tablicy RESP tworzy „nową ArrayList<RedisMessage>(długość)” zanim istnieje jakikolwiek element potomny.
Przy użyciu domyślnego konstruktora osoba atakująca może wysyłać zagnieżdżone nagłówki tablic o długości „1 000 000” do momentu osiągnięcia domyślnego limitu zagnieżdżenia wynoszącego „1024”. Może to zarezerwować do 1 024 000 000 miejsc podrzędnych z około 12 KB danych wejściowych RESP. To jest pojemność zapasowa, a nie logiczny rozmiar listy: `ArrayList(int)` tworzy pustą listę o określonej początkowej pojemności.
## Szczegóły techniczne
Bieżący `decodeRedisArrayHeader(...)` sprawdza oba limity niezależnie:
```Java
if (header.length() > maxElements) {
zgłosić nowy wyjątek CodecException("ten kodek nie obsługuje długości większej niż " + maxElements);
}
if (głębia.rozmiar() >= maxNestedArrayDepth) {
releaseAndClearDepths();
zgłosić nowy wyjątek CodecException("Przekroczono maksymalną głębokość zagnieżdżonej tablicy: " + maxNestedArrayDepth);
}
głębokość.push(nowy AggregateState((int) header.length()));
```
„Stan agregatu” tj
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org