FICHE CVE

CVE-2026-64607

Publiée le 2026-07-31 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les versions 5.0-alpha1 à 5.6.2 d'Apache HttpComponents Client utilisant le modèle I/O classique sont concernées. Un attaquant peut provoquer un déni de service en envoyant une réponse avec un en-tête `Content-Encoding` invalide, ce qui empêche le client de libérer la connexion et finit par épuiser les ressources disponibles. Cela peut être déclenché à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.

CVSS 3.15.3 MOYENNE

Type de faiblesse

CWE-772

Publiée2026-07-31

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéAucun

Impact sur la disponibilitéFaible

RÉFÉRENCES

Description officielle du NVD (en anglais)

HttpClient based on the classic i/o model fails to correctly release the underlying connection back to the connection manager if it encounters an invalid or unsupported `Content-Encoding` header value in the response message. Please note this defect does not affect HttpClient based on the async i/o model. This issue affects Apache HttpComponents Client: from 5.0-alpha1 through 5.6.2.