PT-2026-54850
CVE-2026-55153
·
تاريخ النشر
2026-07-01
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:A/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات mchange-commons-java الأقدم من 0.6.0
الوصف
يتيح تطبيق JNDI ObjectFactory
com.mchange.v2.naming.JavaBeanObjectFactory إنشاء كائنات من فئات عشوائية وتهيئة الخصائص على غرار JavaBean. يتيح هذا السلوك حقن JNDI واستخدام أدوات إزالة التسلسل، وهي تسلسلات من التعليمات البرمجية القابلة للتنفيذ التي يمكن تشغيلها أثناء عملية إزالة تسلسل كائن ما. على سبيل المثال، يمكن أن يؤدي تكوين خاصية contentType في Swing JEditorPane على text/html وتكوين خاصية text على HTML تحتوي على ورقة أنماط <link> إلى تشغيل طلب HTTP GET إلى عنوان URL عشوائي. ويزداد هذا الخطر بسبب ReferenceIndirector، الذي يسمح بتهريب كائنات مرجعية JNDI ضارة وإلغاء الإشارة إليها عندما يقرأ التطبيق كائنًا تم تسلسله بلغة Java.التوصيات
التحديث إلى الإصدار 0.6.0.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾