Veille sécuritéBackend & données
P3Élevée
Apache Axis2/Java jusqu’à la version 2.0.1 ne limitait pas la taille des corps JSON, ce qui pouvait permettre l’épuisement de la mémoire du serveur par une requête volumineuse. La version 2.0.2 corrige le problème en ajoutant la limite configurable jsonMaxRequestSize.
Java
IdentifiantCVE-2026-120367
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.0.2
Source : NVD — CVE-2026-120367
Analyse technique
Les constructeurs de messages JSON, y compris les variantes Gson, Moshi et HTTP/2, mettaient en mémoire tampon la requête entière sans limite; l’attaque ne requiert pas d’authentification.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique la publication le 2026-11-09; la description documente également le correctif 2.0.2, événement substantiel retenu dans la période.
ImpactUn attaquant non authentifié peut provoquer un épuisement de mémoire et une indisponibilité du serveur.
Versions affectéesApache Axis2/Java jusqu’à 2.0.1
Version corrigée2.0.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.5
Publication2026-11-09T11:17:21.720Z
Mise à jour2026-11-09T15:17:07.970Z
Action recommandée
Mettre à niveau vers Apache Axis2/Java 2.0.2 et configurer jsonMaxRequestSize selon les besoins.
Sources
Priorisation DFS : P3 · 1 source(s).