CVE-2026-81876 in org.hl7.fhir.core
Resumen
por VulDB • 2026-09-16
HAPI FHIR es una implementación completa del estándar HL7 FHIR para la interoperabilidad en el sector sanitario, desarrollada en Java. Antes de la versión 6.9.12, SHCParser en org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java puede entrar en un bucle infinito al procesar contenido JWT (JSON Web Token) de Smart Health Card controlado por el atacante, cuyo encabezado contiene zip: "DEF" y cuya carga útil raw-DEFLATE está vacía o truncada. SHCParser.decodeJWT() alcanza a SHCParser.inflate(), donde Inflater.inflate() puede devolver cero mientras que Inflater.finished() sigue siendo falso e Inflater.needsInput() es verdadero. El bucle también carece de una comprobación de terminación basada en Inflater.needsDictionary(); además, SHCParser.decompress() presenta el mismo patrón de progreso nulo y ResourceChecker.java puede llegar al análisis de SHC durante la detección del formato de archivo. Una solicitud de validación mal formada puede bloquear indefinidamente un hilo trabajador de JVM, y las solicitudes concurrentes pueden agotar todos los trabajadores de validación. Este problema se soluciona en la versión 6.9.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.