PT-2026-60063 · Netty · Netty

Publicado 2026-07-14 · Atualizado 2026-07-15 · CVE-2026-44891

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Netty (versões afetadas não especificadas)

Description O io.netty.handler.codec.stomp.StompSubframeDecoder falha ao limitar o número total de cabeçalhos ou seu tamanho cumulativo por quadro. Embora o parâmetro maxLineLength restrinja o comprimento de linhas de cabeçalho individuais, a ausência de um limite para o número total de cabeçalhos permite que um invasor envie um grande volume de cabeçalhos curtos. Estes são acumulados na memória dentro do DefaultStompHeadersSubframe até que a JVM lance um OutOfMemoryError, resultando em uma Negação de Serviço (DoS).

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Resource Exhaustion

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-400

CWE-770

Identificadores relacionados

CVE-2026-44891

GHSA-VHCH-2WF3-M8RP

Produtos afetados

Netty

Referências · 4

• https://github.com/netty/netty/security/advisories/GHSA-vhch-2wf3-m8rp · Nota
• https://github.com/netty/netty · Nota
• https://twitter.com/dailycve/status/2077296250806759598 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-vhch-2wf3-m8rp · Aviso do Fabricante