CVE-2026-106453

Nome do Software Vulnerável e Versões Afetadas yawkat LZ4 Java versões anteriores a 1.11.2

Description O componente LZ4DecompressorWithLength confia no cabeçalho de comprimento descompactado de quatro bytes através da função getDecompressedLength() antes de validar a entrada compactada. Isso permite que um invasor forneça uma entrada de cinco bytes com um cabeçalho que declara um tamanho de saída grande, podendo solicitar até 2 GiB e esgotar o heap da JVM. Este problema afeta as sobrecargas de conveniência suportadas por LZ4FastDecompressor ou LZ4SafeDecompressor que alocam o tamanho não confiável. Sobrecargas que escrevem em um buffer de destino fornecido pelo chamador não são afetadas.

Recommendations Atualize o yawkat LZ4 Java para a versão 1.11.2.