What is CVE-2026-62296?
CVE-2026-62296 is a vulnerability in HAPI FHIR's XhtmlParser.java where no maximum element nesting depth is enforced, allowing deeply nested `text.div` narratives. This triggers unbounded recursion between parseElementInner() and parseElement(), leading to a Denial of Service (DoS) condition. Upgrading to version 6.9.11 or later is recommended to mitigate this issue.
Azərbaycanca: CVE-2026-62296 HAPI FHIR-in XhtmlParser.java komponentində dərin element iç içəliyinin məhdudlaşdırılmaması səbəbindən meydana çıxan bir zəiflikdir. Bu, hücumçuya xüsusi hazırlanmış dərin iç içəli `text.div` narrative göndərərək parseElementInner() və parseElement() funksiyaları arasında sonsuz rekursiya yaradıb xidmətin dayanmasına (Denial of Service) səbəb olmağa imkan verir. Təsirə məruz qalan sistemləri qorumaq üçün 6.9.11 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-400
FAQ1
In which component of HAPI FHIR does CVE-2026-62296 occur and how is it triggered?
The vulnerability is in the XhtmlParser.java component of HAPI FHIR. An attacker can trigger it by sending specially crafted deeply nested `text.div` narratives, causing unbounded recursion between the parseElementInner() and parseElement() functions.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.