PT-2026-35372
CVE-2026-40860
·
تاريخ النشر
2026-04-27
·
تاريخ التحديث
2026-10-20
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Camel من 3.0.0 إلى 4.14.6
إصدارات Apache Camel من 4.15.0 إلى 4.18.1
إصدارات Apache Camel من 4.19.0 إلى 4.19.x
الوصف
تقوم الدالة
extractBodyFromJms() في camel-jms وفئة JmsBinding في camel-sjms بإلغاء تسلسل الحمولة لقيم JMS ObjectMessage الواردة عبر javax.jms.ObjectMessage.getObject() دون استخدام ObjectInputFilter أو قائمة السماح بالفئات أو قائمة حظر الفئات. يحدث هذا عندما يكون الخيار mapJmsMessage ممكّنًا ويعمل التطبيق كمستهلك JMS. يمكن للمهاجم نشر رسالة ObjectMessage مُصممة خصيصًا إلى قائمة انتظار أو موضوع لتحقيق تنفيذ التعليمات البرمجية عن بُعد في حالة وجود سلسلة أدوات إزالة التسلسل في مسار الفئات. تؤثر هذه المشكلة أيضًا على camel-sjms2 وcamel-amqp وcamel-activemq وcamel-activemq6.التوصيات
الترقية إلى الإصدار 4.14.7 لمن يستخدمون سلسلة إصدارات 4.14.x LTS.
الترقية إلى الإصدار 4.18.2 لمن يستخدمون سلسلة إصدارات 4.18.x.
الترقية إلى الإصدار 4.20.0 لجميع الإصدارات الأخرى المتأثرة.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾