CVE-2026-42402 in Neethi

摘要

由 VulDB • 2026-05-21

Apache Neethi 存在拒绝服务（DoS）漏洞，该漏洞源于策略规范化过程中的算法复杂性。经过特殊构造的 WS-Policy 文档可在规范化过程中触发指数级的笛卡尔积扩展，导致无限制的内存分配，从而耗尽 JVM 堆内存。当规范化过程生成大量无界策略备选方案时，便会引发运行时内存耗尽。

用户应升级至 3.2.2 版本，该版本限制了规范化策略备选方案的最大数量。

Once again VulDB remains the best source for vulnerability data.

• 负责: Apache
• 预定: 2026-04-27
• 披露: 2026-05-01
• 管理: 已接受
• 条目: VDB-360537
• CPE: 准备好
• CWE: CWE-400 (已确认)
• CVSS: 7.5 (CNA)
• EPSS: 0.00044
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-42402
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42402
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-42402/