جزئیات آسیب‌پذیری
CVE-2026-62295
HAPI FHIR: JSON utility parser unbounded recursion causes StackOverflow denial of service
شرح رسمی (انگلیسی)
HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to 6.9.11, the JSON utility parser in org.hl7.fhir.utilities.json.parser.JsonParser enforces no maximum nesting depth for arrays or objects. As a result, a small but deeply nested, syntactically valid FHIR JSON document can trigger unbounded readArray() or readObject() recursion, raising a StackOverflowError before structural validation runs. An attacker who can submit JSON resources for validation can thus crash the request thread, and services that do not isolate StackOverflowError safely may experience worker loss or process instability — a denial-of-service condition. This issue is fixed in version 6.9.11.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 7.5بالا | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| hapifhir | ca.uhn.hapi.fhir:org.hl7.fhir.r5 | < 6.9.11 | CVEProject cvelistV5 (CNA) |
| hapifhir | ca.uhn.hapi.fhir:org.hl7.fhir.utilities | < 6.9.11 | CVEProject cvelistV5 (CNA) |
| hapifhir | ca.uhn.hapi.fhir:org.hl7.fhir.validation | < 6.9.11 | CVEProject cvelistV5 (CNA) |
| hapifhir | ca.uhn.hapi.fhir:org.hl7.fhir.validation.cli | < 6.9.11 | CVEProject cvelistV5 (CNA) |
| hapifhir | org.hl7.fhir.core | < 6.9.11 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۲اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۵/۱۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۵/۲۲
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- اثبات مفهوم
- اثر فنی
- جزئی
ضعف‌ها (CWE)
- CWE-20Improper Input Validation
- CWE-400Uncontrolled Resource Consumption
- CWE-674Uncontrolled Recursion