CVE-2026-102464

Eclipse Vert.x versiyaları [4.0.0, 4.5.34] və ya [5.0.0, 5.0.12] və ya [5.1.0, 5.1.9] və ya [5.2.0, 5.2.0]-da, Eclipse Vert.x MQTT (vertx-mqtt) MqttClient, QoS 2 əl sıxma prosesini tamamlamaq üçün müvafiq PUBREL paketini gözləyərkən brokerdən alınan hər bir daxil olan QoS 2 PUBLISH mesajını daxili xəritədə (qos2inbound) saxlayır. Bu xəritənin ölçü limiti yoxdur; maxInflightQueue seçimi yalnız çıxan publish yolunda tətbiq edilir və daxil olan mesajların saxlanmasını məhdudlaşdırmır. Bədxah və ya kompromisə uğramış MQTT brokeri, fərqli paket identifikatorları ilə QoS 2 PUBLISH mesajları göndərmək və PUBREL cavablarını verməməklə bundan istifadə edə bilər. Hər bir tamamlanmamış əl sıxma prosesi klientin bütün publish mesajını (mövzu, faydalı yük və metadata) qeyri-müəyyən müddətə saxlamasına səbəb olur ki, bu da Vert.x prosesində yaddaşın limitsiz artmasına gətirib çıxarır. Bu, MQTT istehlak edən tətbiqin performansının aşağı düşməsinə və ya yaddaş çatışmazlığına (out-of-memory) görə dayanmasına səbəb ola bilər. Təsirə məruz qalan komponent io.vertx:vertx-mqtt-dir.