CVE-2026-81875

HAPI FHIR, sağlık hizmetleri birlikte çalışabilirliği için HL7 FHIR standardının Java dilindeki eksiksiz bir uygulamasıdır. Versiyon 6.9.12 öncesinde, org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.java dosyasındaki SHCParser; başlığı zip: "DEF" içeren ve küçük ham-DEFLATE yükü çok büyük bir değere genişleyen, saldırgan tarafından kontrol edilen Smart Health Card JWT içeriğini tüketebilir. SHCParser.decodeJWT(), çözülmüş yükü SHCParser.inflate() fonksiyonuna iletir; bu fonksiyon, JSON ayrıştırmadan önce tüm sıkıştırılmış baytları herhangi bir çıktı boyut sınırı olmaksızın bir ByteArrayOutputStream içinde toplar ve SHCParser.decompress() da aynı sınırsız deseni içerir. Bu nedenle, saldırgan tarafından sağlanan SHC içeriğini kabul eden bir uygulama veya doğrulayıcı servis; aşırı heap tahsisi, ciddi çöp toplama (garbage-collection) baskısı, istek hatası, işlem kararsızlığı veya işlemin sonlanması gibi sorunlar yaşayabilir. Bu sorun versiyon 6.9.12 ile düzeltilmiştir.