Les parseurs de requêtes multipart et URL-encoded d’Apache Axis2/Java ne limitaient pas la taille des corps lus directement depuis le flux de transport et ne supprimaient pas les fichiers temporaires multipart. Un appelant non authentifié pouvait épuiser la mémoire ou le disque ; la version 2.0.2 ajoute des limites configurables et le nettoyage des fichiers temporaires.
Source : NVD — CVE-2026-123770
Analyse technique
Les limites de taille du conteneur servlet ne s’appliquaient pas à la lecture directe par les parseurs concernés ; les fichiers temporaires multipart pouvaient rester sur disque.
Impact, versions et correctif
Détection / vérification
Rechercher les déploiements Axis2 jusqu’à 2.0.1 traitant des requêtes multipart/form-data ou application/x-www-form-urlencoded.
Action recommandée
Mettre à niveau Apache Axis2/Java vers 2.0.2 et configurer des limites adaptées aux corps de requête.
Sources
Priorisation DFS : P4 · 1 source(s).