CVE-2026-123356

Nome do Software Vulnerável e Versões Afetadas GROBID versões anteriores a 0.9.1

Description O endpoint não autenticado '/api/modelTraining' chama a função trainModel() em GrobidRestProcessTraining.java. Cada solicitação cria um novo pool de threads fixas via Executors.newFixedThreadPool(1), envia uma tarefa de treinamento e mantém o executor em execução. Solicitações repetidas causam a retenção permanente de threads de trabalho da JVM, o que pode esgotar a capacidade de threads do processo ou do sistema operacional, resultando na degradação ou interrupção do processamento de solicitações.

Recommendations Atualize para a versão 0.9.1. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/modelTraining'.