CVE-2026-102464

Eclipse Vert.x [4.0.0, 4.5.34], [5.0.0, 5.0.12], [5.1.0, 5.1.9] veya [5.2.0, 5.2.0] sürümlerinde, Eclipse Vert.x MQTT (vertx-mqtt) MqttClient, QoS 2 el sıkışmasını tamamlamak için ilgili PUBREL paketini beklerken, broker'dan alınan her gelen QoS 2 PUBLISH mesajını dahili bir eşlemede (qos2inbound) saklar. Bu eşlemenin herhangi bir boyut sınırı yoktur; maxInflightQueue seçeneği yalnızca giden yayınlama yolu üzerinde uygulanır ve gelen mesajların tutulmasını kısıtlamaz. Kötü niyetli veya ele geçirilmiş bir MQTT broker, farklı paket tanımlayıcılarına sahip QoS 2 PUBLISH mesajları gönderip PUBREL yanıtlarını göndermeyerek bu durumu istismar edebilir. Tamamlanmayan her el sıkışma, istemcinin tüm yayın mesajını (konu, yük ve meta veriler) süresiz olarak tutmasına neden olur ve bu da Vert.x sürecinde sınırsız bellek artışına yol açar. Bu durum, MQTT tüketen uygulamanın performansını düşürebilir veya belleğin tükenmesi nedeniyle sonlanmasına (out-of-memory termination) neden olabilir. Etkilenen bileşen io.vertx:vertx-mqtt'dir.