Veille sécuritéBackend & données
P3Élevée
Avant GROBID 0.9.1, l’endpoint non authentifié /api/modelTraining crée un exécuteur à chaque requête et laisse ses threads actifs. Des requêtes répétées peuvent épuiser les ressources en threads et dégrader ou arrêter le traitement des requêtes ; le problème est corrigé en version 0.9.1.
Java
IdentifiantCVE-2026-123356
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif0.9.1
Source : NVD — CVE-2026-123356
Analyse technique
Chaque requête à /api/modelTraining crée Executors.newFixedThreadPool(1), soumet une tâche d’entraînement et ne ferme pas l’exécuteur.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-06, dans la période demandée ; l’événement retenu est la publication de la vulnérabilité.
ImpactDéni de service par épuisement des ressources de threads du processus ou du système.
Versions affectéesVersions antérieures à 0.9.1.
Version corrigée0.9.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-06T19:17:44.220Z
Mise à jour2026-11-06T19:17:44.220Z
Action recommandée
Mettre à niveau vers GROBID 0.9.1 ou une version ultérieure corrigée.
Sources
Priorisation DFS : P3 · 1 source(s).