Cyber ·
CVE-2026-123770: Apache Axis2/Java sem limite em corpos multipart e de formulário
Aviso de gravidade baixa: versões do Apache Axis2/Java anteriores à 2.0.2 liam corpos multipart e de formulário sem limite de tamanho e não excluíam arquivos temporários.
Publicado em 6 de novembro de 2026 no feed oss-sec e atribuído a Robert Lazarski, o aviso descreve a CVE-2026-123770 no Apache Axis2/Java. Segundo o texto, as versões anteriores à 2.0.2 aceitavam requisições multipart/form-data e application/x-www-form-urlencoded sem limite de tamanho: os construtores de mensagens liam o corpo diretamente do fluxo de transporte, de modo que o limite de postagem do contêiner de servlets não era aplicado.
O mesmo problema impedia a exclusão de arquivos temporários multipart. A gravidade é classificada como baixa, e a categoria é alocação de recursos sem limites ou controle. O texto disponível é uma tradução automática e termina de forma truncada, então a lista completa de condições e mitigações deve ser conferida na fonte original.
Para quem usa Axis2/Java, o primeiro passo é verificar a versão em uso e planejar a atualização para a 2.0.2 ou superior. Consulte a fonte original na lista oss-sec de novembro de 2026 e o aviso oficial do projeto Apache antes de concluir a análise.