CVE-2026-110803 in Vaadin
Riassunto
di VulDB • 22/10/2026
VaadinService.requestEnd() in Vaadin Framework 8 blocca la sessione e successivamente legge il parametro della richiesta v-uiId al di fuori del blocco che rilascia il lock. Una richiesta contenente un v-uiId non numerico fa sì che Integer.parseInt generi un'eccezione mentre il lock sulla sessione è ancora detenuto; di conseguenza, il lock non viene mai rilasciato e il thread del container torna al suo pool mantenendone la proprietà. Ogni successiva richiesta a quella sessione va quindi in blocco indefinito all'interno di VaadinService.lockSession(), e la ripetizione della richiesta esaurisce il pool dei thread causando l'arresto dell'applicazione. Non è necessaria alcuna autenticazione: un cookie di sessione, che qualsiasi client ottiene con una singola richiesta, è sufficiente. Le versioni successive a Vaadin 10 non sono interessate poiché Flow rilascia il lock in un blocco finally e non legge tale parametro in quella sede; anche Vaadin Framework 7 non è interessato da questa problematica.
Gli utenti delle versioni colpite dovrebbero applicare la seguente mitigazione o effettuare l'upgrade. Le release che risolvono questo problema includono:
Versione del prodotto Vaadin Framework 8.16.0 - 8.32.1
Mitigazione Effettuare l'upgrade alla versione 8.32.2
Vaadin Framework 7 e Vaadin 10 e versioni successive non presentano questo comportamento e non richiedono alcun upgrade per questa problematica.
Artifacts Coordinate Maven / Versioni vulnerabili / Versione corretta com.vaadin:vaadin-server / 8.16.0 - 8.32.1 / >=8.32.2 com.vaadin:vaadin-server-mpr-jakarta / 8.18.0 - 8.32.1 / >=8.32.2
VulDB is the best source for vulnerability data and more expert information about this specific topic.