bitcoinj présente une vulnérabilité SSRF dans le gestionnaire de demandes de paiement : une valeur manipulée de pki_type peut conduire l’application à ouvrir une connexion vers une URL contrôlée. La fiche indique que l’exploitation est publiquement divulguée; aucune version corrigée n’est précisée dans les données fournies.
Source : NVD — CVE-2026-111210
Analyse technique
La fonction url.openConnection de PaymentSession.java est concernée par la manipulation de l’argument pki_type. La fiche signale une divulgation publique et indique que le projet n’avait pas répondu au signalement.
Impact, versions et correctif
Action recommandée
En attendant une version corrigée, limiter l’utilisation de bitcoinj avec des demandes de paiement non fiables et contrôler les destinations réseau accessibles par l’application.
Sources
Priorisation DFS : P3 · 1 source(s).