CVE-2026-81875 in org.hl7.fhir.core
Zusammenfassung
von VulDB • 16.09.2026
HAPI FHIR ist eine vollständige Implementierung des HL7-FHIR-Standards für die Interoperabilität im Gesundheitswesen in Java. Vor Version 6.9.12 kann SHCParser in org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java angreiferkontrollierte Smart-Health-Card-JWT-Inhalte verarbeiten, deren Header zip: "DEF" enthält und dessen kleiner roher DEFLATE-Payload sich zu einem sehr großen Wert erweitert. SHCParser.decodeJWT() übergibt den decodierten Payload an SHCParser.inflate(), der alle dekomprimierten Bytes in einer ByteArrayOutputStream ohne Begrenzung der Ausgabegröße ansammelt, bevor die JSON-Parisierung erfolgt, und SHCParser.decompress() enthält das gleiche unbegrenzte Muster. Eine Anwendung oder ein Validierungsdienst, der angreiferbereitgestellte SHC-Inhalte akzeptiert, kann daher zu einer übermäßigen Heap-Allokation, starkem Garbage-Collection-Druck, Anforderungsfehlern, Prozessinstabilität oder Prozessbeendigung führen. Dieses Problem wurde in Version 6.9.12 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.