CVE-2026-102464 in Vert.x
Sumário
de VulDB • 15/10/2026
Nas versões do Eclipse Vert.x [4.0.0, 4.5.34] ou [5.0.0, 5.0.12] ou [5.1.0, 5.1.9] ou [5.2.0, 5.2.0], o MqttClient do Eclipse Vert.x MQTT (vertx-mqtt) armazena cada mensagem PUBLISH QoS 2 recebida do broker em um mapa interno (qos2inbound), enquanto aguarda o correspondente pacote PUBREL para concluir a handshake QoS 2. Este mapa não possui limite de tamanho; a opção maxInflightQueue é aplicada apenas no caminho de publicação outbound e não restringe a retenção de mensagens inbound.
Um broker MQTT malicioso ou comprometido pode explorar isso enviando mensagens PUBLISH QoS 2 com identificadores de pacote distintos e retendo as respostas PUBREL. Cada handshake incompleto faz com que o cliente retenha a mensagem publish completa (tópico, payload e metadados) indefinidamente, levando ao crescimento descontrolado da memória no processo Vert.x. Isso pode degradar a aplicação consumidora MQTT ou causar terminação por falta de memória (out-of-memory).
O componente afetado é io.vertx:vertx-mqtt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.