PT-2026-21943
CVE-2026-27727
·
تاريخ النشر
2026-02-25
·
تاريخ التحديث
2026-08-18
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
mchange-commons-java الإصدارات الأقدم من 0.4.0
الوصف
يحتوي mchange-commons-java، وهو مكتبة توفر أدوات مساعدة لغة Java، على كود يحاكي تطبيقات JNDI القديمة، بما في ذلك دعم القيم البعيدة لـ
factoryClassLocation. وهذا يتيح إمكانية تنزيل وتنفيذ كود ضار إذا قام أحد التطبيقات بمعالجة كائن javax.naming.Reference أو كائن مُسلسل تم إنشاؤه خصيصًا لهذا الغرض. على الرغم من أن JDK يحتوي على إجراءات حماية قياسية ضد هذا السلوك من خلال خاصية النظام com.sun.jndi.ldap.object.trustURLCodebase، فإن تنفيذ JNDI المستقل في mchange-commons-java يتجاوز هذه الإجراءات. وهذا يعني أن المكتبات مثل c3p0، التي تستخدم mchange-commons-java لحل JNDI، يمكن استغلالها حتى مع وجود JDK مُعزَّز. أصبحت وظيفة JNDI للمكتبة محمية الآن بواسطة معلمات التكوين التي تحتوي، بشكل افتراضي، على قيم تقييدية بدءًا من الإصدار 0.4.0. لم يتم ذكر نقطة نهاية واجهة برمجة التطبيقات (API) صراحةً. المعلمة المعرضة للخطر هي factoryClassLocation.التوصيات
قم بالتحديث إلى الإصدار 0.4.0 أو أحدث من mchange-commons-java.
تجنب استخدام إصدارات mchange-commons-java الأقدم من 0.4.0 في مسارات CLASSPATH الخاصة بالتطبيق.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾