CVE-2026-106450

Nome do Software Vulnerável e Versões Afetadas yawkat LZ4 Java versões anteriores a 1.11.4

Description A função readHeader() em net.jpountz.lz4.LZ4FrameInputStream aloca dois buffers de bloco de 4 MiB quando um cabeçalho de quadro de tamanho máximo de bloco é processado. No modo de quadro concatenado padrão, um invasor pode fornecer fluxos com inúmeros quadros vazios mínimos, desencadeando aproximadamente 8 MiB de alocação de memória para cada 11 bytes de entrada. Esse processo consome CPU e tempo de coleta de lixo (garbage-collection) sem produzir saída descompactada, tornando os limites de tamanho descompactado ineficazes. O modo readSingleFrame não é afetado.

Recommendations Atualize para a versão 1.11.4.