Épuisement de ressources via les corps de requête dans Apache Axis2/Java

Veille sécuritéBackend & données

P4Non déterminée

Les parseurs de requêtes multipart et URL-encoded d’Apache Axis2/Java ne limitaient pas la taille des corps lus directement depuis le flux de transport et ne supprimaient pas les fichiers temporaires multipart. Un appelant non authentifié pouvait épuiser la mémoire ou le disque ; la version 2.0.2 ajoute des limites configurables et le nettoyage des fichiers temporaires.

IdentifiantCVE-2026-123770

GravitéNon déterminée

Exploitationnon connue / non déterminée

Correctif2.0.2

Source : NVD — CVE-2026-123770

Analyse technique

Les limites de taille du conteneur servlet ne s’appliquaient pas à la lecture directe par les parseurs concernés ; les fichiers temporaires multipart pouvaient rester sur disque.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-09 à 11:17:24.180Z, dans la période demandée ; l’événement retenu est la publication de l’information sur la vulnérabilité.

ImpactUn attaquant non authentifié pouvait provoquer une consommation excessive de mémoire ou d’espace disque.

Versions affectéesApache Axis2/Java jusqu’à 2.0.1 inclus

Version corrigée2.0.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

Publication2026-11-09T11:17:24.180Z

Mise à jour2026-11-09T11:17:24.180Z

Détection / vérification

Rechercher les déploiements Axis2 jusqu’à 2.0.1 traitant des requêtes multipart/form-data ou application/x-www-form-urlencoded.

Action recommandée

Mettre à niveau Apache Axis2/Java vers 2.0.2 et configurer des limites adaptées aux corps de requête.

Sources

NVD — CVE-2026-123770

Priorisation DFS : P4 · 1 source(s).