Cyber ·
CVE-2026-120367: Apache Axis2/Java aceitava corpos JSON de requisição sem limite de tamanho
Aviso de baixa gravidade publicado na lista oss-sec em 6 de novembro de 2026. Versões do Apache Axis2/Java anteriores à 2.0.2 armazenavam em buffer todo o corpo de requisições JSON, o que permitia esgotar a memória do servidor com uma requisição grande e sem autenticação.
Aviso de segurança de baixa gravidade publicado na lista oss-sec em 6 de novembro de 2026, identificado como CVE-2026-120367. Segundo o texto, versões do Apache Axis2/Java anteriores à 2.0.2 armazenavam em buffer todo o corpo de requisições JSON sem limite de tamanho. Os construtores de mensagens JSON, incluindo as variantes Gson, Moshi e HTTP/2, eram afetados. Um solicitante não autenticado podia esgotar a memória do servidor com uma requisição JSON grande. A versão 2.0.2 passa a limitar os corpos de requisições JSON por meio de uma configuração ajustável.
O conteúdo original é uma tradução automática de um aviso de lista pública. Para consultar e verificar, procure o identificador CVE-2026-120367 na página oficial do projeto Apache Axis2 ou em uma base de vulnerabilidades reconhecida, e confirme a versão afetada e o valor padrão da configuração de tamanho antes de agir.
Relevância para uma organização: se sistemas internos ou serviços expostos usam Axis2/Java, a ação prática é inventariar versões, planejar a atualização e definir o limite de tamanho. A Rota Nacional não corrige bibliotecas de terceiros nem substitui esse trabalho. Se a equipe usar IA para estudar o aviso, não cole configurações, logs ou exemplos de requisições reais com dados pessoais. A plataforma detecta CPF, CNPJ, e-mail, telefone e nomes antes de qualquer modelo rodar e aplica a política escolhida pela organização.
Fonte original: CVE-2026-120367: Apache Axis2/Java armazenava corpos JSON de requisição sem limite