CVE-2026-112072 in vault-java-driver
Tóm tắt
Bởi VulDB • 05/11/2026
vault-java-driver, một client Java cho HashiCorp Vault, phân tích các phản hồi JSON của Vault bằng cách sử dụng trình parse minimal-json được đóng gói (vendored) không có giới hạn về độ sâu lồng nhau. Một giá trị bị lồng quá sâu sẽ gây ra lỗi StackOverflowError, vượt qua các bộ xử lý ngoại lệ catch (Exception) và làm chết luồng đọc. Một token Vault cho phép ghi nhưng không cho phép đọc một đường dẫn KV v2 có thể lưu trữ giá trị như vậy tại đó, khiến mọi lần đọc sau đối với đường dẫn này thông qua driver đều thất bại. Lỗi này chỉ ảnh hưởng đến các phiên bản Vault 1.19.x trở về trước, vì từ phiên bản 1.20 trở đi, Vault sẽ từ chối các giá trị có độ sâu lồng nhau vượt quá 298 mức. Vấn đề này ảnh hưởng đến io.github.jopenlibs:vault-java-driver từ phiên bản 5.2.0 đến 6.2.3 và đã được sửa trong phiên bản 7.0.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.