CVE-2026-81876 in org.hl7.fhir.core
Zusammenfassung
von VulDB • 17.09.2026
HAPI FHIR è un'implementazione completa dello standard HL7 FHIR per l'interoperabilità sanitaria in Java. Prima della versione 6.9.12, SHCParser in org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java può entrare in un loop infinito durante l'elaborazione di contenuti JWT Smart Health Card controllati dall'attaccante, il cui header contiene zip: "DEF" e il payload raw-DEFLATE è vuoto o tronco. SHCParser.decodeJWT() raggiunge SHCParser.inflate(), dove Inflater.inflate() può restituire zero mentre Inflater.finished() rimane false e Inflater.needsInput() è true. Il loop manca anche di un controllo di terminazione per Inflater.needsDictionary(); SHCParser.decompress() presenta lo stesso pattern a progressione zero, e ResourceChecker.java può raggiungere l'analisi degli Smart Health Card durante il rilevamento del formato file. Una richiesta di convalida non valida può bloccare indefinitamente un thread worker JVM, e le richieste concorrenti possono esaurire tutti i validator workers. Questo problema è risolto nella versione 6.9.12.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.