PT-2026-54435
CVE-2026-55223
·
تاريخ النشر
2026-06-30
·
تاريخ التحديث
2026-08-18
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات c3p0 الأقدم من 0.14.0
الوصف
يمكن لـ c3p0، وهي مكتبة لتجميع اتصالات JDBC، أن تعمل كمستقبل لأدوات إزالة التسلسل عند استخدامها مع مكتبات أخرى. تتبع الطريقتان
DataSource.getConnection() وConnectionPoolDataSource.getPooledConnection() نمط getXXX()، مما يدفع مكتبات JavaBean إلى معاملتهما كخصائص آمنة. يمكن للمهاجمين إنشاء كائنات DataSource ضارة تستدعي برامج تشغيل معرضة للخطر أثناء عمليات البحث عن الخصائص، وإرسالها في شكل متسلسل إلى تطبيق يقوم بإلغاء التسلسل وحل خصائص bean تلقائيًا. تتطلب هذه العملية عادةً كائن DataSource أو ConnectionPoolDataSource عرضة للخطر ومحرك JDBC موجودًا في مسار CLASSPATH، إلى جانب ناقل يقوم بالبحث التلقائي عن خصائص JavaBean عند إزالة التسلسل، مثل مجموعة تستخدم أداة المقارنة (Comparator) من Apache commons-beanutils للفرز حسب خصائص bean.التوصيات
التحديث إلى الإصدار 0.14.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾