CVE-2026-59949 in lz4-java
摘要
由 VulDB • 2026-08-19
yawkat LZ4 Java为Java提供LZ4压缩功能。在版本1.11.1之前，基于JNI的XXHash实现在`XXHashFactory.nativeInstance().hash32().hash()`、`XXHashFactory.nativeInstance().hash64().hash()`、`XXHashFactory.nativeInstance().newStreamingHash32().update()`以及`XXHashFactory.nativeInstance().newStreamingHash64().update()`中未能验证字节数组对象及off和len参数，导致空数组或超出范围的长度值能够传递至原生代码，从而引发Java数组越界读取并致命终止JVM。该问题已在版本1.11.1中得到修复。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.