目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

目标: 1000 元 · 已筹: 1359 元

100%
请我们喝杯咖啡

CWE-409 对高度压缩数据的处理不恰当(数据放大攻击) 类漏洞列表 134

CWE-409 对高度压缩数据的处理不恰当(数据放大攻击) 类弱点 134 条 CVE 漏洞汇总，含 AI 中文分析。

CWE-409 属于数据压缩处理不当漏洞，特指程序未能正确应对高压缩比输入导致输出数据急剧膨胀的情况。攻击者常利用“解压缩炸弹”，即发送极小的压缩文件，在解压时消耗大量内存或磁盘空间，从而引发拒绝服务。开发者应实施解压大小限制、设置超时机制及监控资源使用，以有效防御此类数据放大攻击。

MITRE CWE 官方描述
CWE：CWE-409 对高度压缩数据（Data Amplification）处理不当 英文：产品未处理或错误处理具有高压缩比且会产生大量输出的压缩输入。 数据放大（Data Amplification）的一个示例是“解压炸弹”（decompression bomb），即一个小的 ZIP 文件在解压时可能产生大量数据。
常见影响 (1)
Availability DoS: Amplification, DoS: Crash, Exit, or Restart, DoS: Resource Consumption (CPU), DoS: Resource Consumption (Memory)
System resources, CPU and memory, can be quickly consumed. This can lead to poor system performance or system crash.
代码示例 (1)
The DTD and the very brief XML below illustrate what is meant by an XML bomb. The ZERO entity contains one character, the letter A. The choice of entity name ZERO is being used to indicate length equivalent to that exponent on two, that is, the length of ZERO is 2^0. Similarly, ONE refers to ZERO twice, therefore the XML parser will expand ONE to a length of 2, or 2^1. Ultimately, we reach entity …
<?xml version="1.0"?> <!DOCTYPE MaliciousDTD [ <!ENTITY ZERO "A"> <!ENTITY ONE "&ZERO;&ZERO;"> <!ENTITY TWO "&ONE;&ONE;"> ... <!ENTITY THIRTYTWO "&THIRTYONE;&THIRTYONE;"> ]> <data>&THIRTYTWO;</data>
Attack · XML
CVE ID 标题 CVSS 风险等级 Published
CVE-2026-112892 Pillow MSP RLE 解码器远程拒绝服务漏洞 — Pillow 8.7 High 2026-10-19
CVE-2026-111924 Fleet 4.83.0 之前版本 Gzip 解压缩拒绝服务漏洞 — fleet 7.5 High 2026-10-17
CVE-2026-102072 Junos OS gRPC 扩展服务启用时拒绝服务漏洞 — Junos OS 6.5 Medium 2026-10-14
CVE-2026-105274 Erlang/OTP hex_core 无限制解压漏洞 — rebar3 2.1 Low 2026-10-12
CVE-2026-109324 Grav 2.1.7之前版本因图像变换过度导致内存耗尽漏洞 — grav 6.5 Medium 2026-10-12
CVE-2026-96618 Hex内存与磁盘耗尽漏洞（过大或压缩响应） — hex 2.1 Low 2026-10-12
CVE-2026-109398 Gumlet php-image-resize <3.0.1 拒绝服务漏洞 — php-image-resize 7.5 High 2026-10-12
CVE-2026-109229 SGLang 0.5.21 解压缩炸弹拒绝服务漏洞 — sglang 7.5 High 2026-10-12
CVE-2026-109226 SGLang 0.5.21 及以下版本 load_audio 音频解压放大漏洞 — sglang 7.5 High 2026-10-12
CVE-2026-108750 OpenDocMan 2.4.0-2.10.0 上传提取文件解压炸弹导致拒绝服务漏洞 — OpenDocMan 4.3 Medium 2026-10-11
CVE-2026-107335 Malcolm 处理高压缩数据不当漏洞 — Malcolm 6.5 Medium 2026-10-08
CVE-2026-107210 ImageMagick MAT解码器绕过策略漏洞 — ImageMagick 5.3 Medium 2026-10-07
CVE-2026-106585 OpenSSH 10.6前解压缩漏洞 — OpenSSH 6.5 Medium 2026-10-06
CVE-2026-105747 Docling METS-GBS成员数量限制绕过导致内存耗尽漏洞 — docling 4.3 Medium 2026-10-05
CVE-2026-94637 Apache Thrift Go 版本 ZLIB 帧膨胀大小未限制漏洞 — Apache Thrift 8.2 High 2026-10-02
CVE-2026-94636 Apache Thrift Python TZlibTransport 资源耗尽漏洞 — Apache Thrift 8.2 High 2026-10-02
CVE-2026-103262 Tornado 6.5.9前CurlAsyncHTTPClient拒绝服务漏洞 — tornado 7.5 High 2026-10-01
CVE-2026-68911 Nicotine+ 消息解压缩内存耗尽漏洞 — nicotine-plus 8.7 High 2026-09-29
CVE-2026-92573 Apache Qpid Broker-J 资源消耗失控漏洞 — Apache Qpid Broker-J - - 2026-09-25
CVE-2026-67232 RabbitMQ Web-MQTT解压炸弹漏洞 — rabbitmq-server 8.2 High 2026-09-23
CVE-2026-83599 Netdata WebSocket解压炸弹漏洞 — netdata 7.5 High 2026-09-22
CVE-2026-77620 Logstash 未授权拒绝服务漏洞 — vector 8.7 High 2026-09-22
CVE-2026-77021 代理接收器解压大小限制缺失导致内存耗尽漏洞 — Checkmk 5.3 Medium 2026-09-21
CVE-2026-47321 Apache MINA 解压放大拒绝服务漏洞 — Apache MINA 7.5 High 2026-09-21
CVE-2026-77528 Autobahn Python 压缩解包后载荷限制绕过 — autobahn-python 5.3 Medium 2026-09-18
CVE-2026-84384 libheif 解压无限制致拒绝服务漏洞 — libheif 7.5 High 2026-09-18
CVE-2026-89059 Resteasy iioimageprovider 图片解压炸弹拒绝服务漏洞 7.5 High 2026-09-18
CVE-2026-70469 Apache NiFi HTTP请求编码大小写处理不当漏洞 — Apache NiFi - - 2026-09-16
CVE-2026-92000 adm-zip 0.5.14-0.6.0 拒绝服务漏洞 — adm-zip 7.5 High 2026-09-15
CVE-2026-44163 fluent-plugin-opentelemetry 拒绝服务漏洞 — fluent-plugin-opentelemetry 5.3 Medium 2026-09-15

CWE-409（对高度压缩数据的处理不恰当(数据放大攻击)） 是常见的弱点类别，本平台收录该类弱点关联的 134 条 CVE 漏洞。