PT-2026-141857

CVE-2026-97891

Publicado

2026-11-10

Atualizado

2026-11-10

Descrição por

CVSS 4.0

8.8

Alta

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:H/SC:N/SI:L/SA:N

Nome do Software Vulnerável e Versões Afetadas Eclipse Kura versões 5.0.0 through 5.6.2

Description O Console Web aloca uma nova sessão HTTP para cada solicitação aos seus endpoints de autenticação integrados antes de validar as credenciais ou verificar o método HTTP. Como não há limite para o número de sessões que podem ser alocadas, um cliente não autenticado pode desencadear a alocação de um número ilimitado de sessões ao ignorar os cookies de sessão retornados. Isso leva ao esgotamento do heap da JVM (a área de memória onde a Java Virtual Machine armazena objetos), resultando no travamento do processo Kura. Os endpoints de API afetados são "/admin/auth", "/admin/login/password" e "/admin/login/cert".

Recommendations Atualize o Eclipse Kura para uma versão posterior à 5.6.2.

Explorabilidade

Exploit

Correção

Impactos

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-770: Allocation of Resources Without Limits or Throttling

CWE-400: Uncontrolled Resource Consumption

Identificadores relacionados

CVE-2026-97891