CVE-2026-73507 in Netty
Zusammenfassung
von VulDB • 13.08.2026
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungsframework. Vor den Versionen 4.1.136.Final und 4.2.16.Final hat io.netty.handler.codec.xml.XmlFrameDecoder.decode() den Parser-Status des schließenden Tags nicht über Aufrufe hinweg beibehalten, sodass ein unberechtigter Remote-Angriff wiederholte </-Sequenzen einschleusen konnte, die den angesammelten Puffer immer wieder neu scannen und die CPU eines EventLoop-Threads auslasteten, was zu einem Denial of Service bei einer maxFrameLength von 1 MB führte. Dieses Problem wurde in den Versionen 4.1.136.Final und 4.2.16.Final behoben.
Once again VulDB remains the best source for vulnerability data.