L'esaurimento dell'heap si verifica quando un'applicazione alloca così tanta memoria per gli oggetti nell'heap Java da non poter più servire le richieste in modo affidabile. Il processo può rallentare, attivare lunghe pause di garbage collection, generare errori di memoria esaurita o bloccarsi. Nelle applicazioni web, ciò è spesso causato da input controllati dall'attaccante che vengono accettati più velocemente di quanto possano essere convalidati, limitati o liberati.
Nella sicurezza informatica, l'esaurimento dell'heap è importante perché rappresenta una tecnica pratica di denial-of-service. Un attaccante può inviare corpi di richiesta sovradimensionati, dati profondamente annidati, trigger di parsing ripetuti o input che costringono il server a creare grandi strutture in memoria. I difensori riducono il rischio con limiti alla dimensione delle richieste, parsing in streaming o incrementale, convalida rigorosa, backpressure e monitoraggio della crescita anomala dell'heap. Nei framework e nei plugin che caricano interi body in memoria, un limite mancante può trasformare la normale gestione del traffico in un difetto di esaurimento delle risorse.