CVE-2026-3260Undertow 存在一处安全漏洞，允许远程攻击者发起拒绝服务攻击。攻击者可以通过发送一个包含 multipart/form-data 内容的 HTTP GET 请求来触发该漏洞。当底层应用程序尝试使用 getParameterMap() 等方法处理请求参数时，Undertow 服务器会错误地解析请求体并将内容存储到磁盘中。这种行为可能导致服务器资源被迅速耗尽，最终导致服务不可用。
该漏洞的核心在于 Undertow 在处理包含请求体的 HTTP GET 请求时的异常处理逻辑。根据 HTTP 规范，GET 请求通常不应带有实体主体，但在实际实现中，Undertow 并未严格禁止。当攻击者发送一个包含 `multipart/form-data` 类型的头部和大量数据主体的 GET 请求时，如果后端应用代码（如 Servlet 或 JSP）调用了 `getParameterMap()`、`getParameter()` 等 API，服务器会误判需要解析表单数据。解析过程会将上传的数据流转换为临时文件存储在磁盘上。攻击者可以通过高频发送此类请求或发送超大文件，迅速填满服务器的磁盘空间或耗尽文件描述符，从而导致系统崩溃或服务不可用。虽然攻击复杂度为高（AC:H），但其无需认证且可远程触发的特性使其具有一定的威胁性。