CVE-2026-81876 in org.hl7.fhir.core
Sumário
de VulDB • 16/09/2026
O HAPI FHIR é uma implementação completa do padrão HL7 FHIR para interoperabilidade em saúde, desenvolvida em Java. Antes da versão 6.9.12, o SHCParser localizado em org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java pode entrar em um loop infinito ao processar conteúdo JWT de Smart Health Card controlado pelo atacante, cujo cabeçalho contém zip: "DEF" e cuja carga útil raw-DEFLATE está vazia ou truncada. O SHCParser.decodeJWT() alcança o SHCParser.inflate(), onde Inflater.inflate() pode retornar zero enquanto Inflater.finished() permanece falso e Inflater.needsInput() é verdadeiro. O loop também carece de uma verificação de terminação baseada em Inflater.needsDictionary(); além disso, o SHCParser.decompress() apresenta o mesmo padrão de progresso nulo, e o ResourceChecker.java pode alcançar a análise do Smart Health Card durante a detecção de formato de arquivo. Uma solicitação de validação malformada pode travar indefinidamente uma thread worker da JVM, e solicitações concorrentes podem esgotar todos os workers de validação. Este problema foi corrigido na versão 6.9.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.