Veille sécuritéBackend & données
P3Élevée
La désérialisation de `CompactHashMap`, `CompactHashSet` et `MapMakerInternalMap` peut allouer une quantité de mémoire contrôlée par les données sérialisées, provoquant un épuisement mémoire et l’arrêt du processus JVM. Les versions Guava jusqu’à 33.7.1 sont affectées ; mettez à niveau vers 33.7.2 et évitez de désérialiser des données non fiables avant correction.
Java
IdentifiantCVE-2026-102554
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif33.7.2
Source : GHSA-xxph-c9ww-hj94 — Google Guava
Analyse technique
La valeur de taille lue dans le flux n’est pas suffisamment bornée avant l’allocation de tableaux de grande taille pendant la désérialisation.
Impact, versions et correctif
Événement datéAvis GitHub publié le 2026-10-27 à 14:27:53Z, dans la période demandée.
ImpactDéni de service par épuisement mémoire et arrêt de la JVM.
Versions affectéesGuava >= 4.0 et <= 33.7.1
Version corrigée33.7.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
EPSS0,35% · percentile 28,7%
Publication2026-10-27T14:27:53Z
Mise à jour2026-10-27T14:27:55Z
Action recommandée
Mettre à niveau Guava vers 33.7.2 ; ne pas désérialiser de flux non fiables avec les versions affectées.
Sources
Priorisation DFS : P3 · 1 source(s).