PT-2026-57319
CVE-2026-49844
·
تاريخ النشر
2026-07-10
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Log4j API من 2.13.1 إلى 2.25.4
إصدار Apache Log4j API 2.26.0
الوصف
يؤدي الترميز غير الصحيح للقيم العائمة غير المحدودة وفقًا لمعيار IEEE 754 (NaN أو Infinity أو -Infinity) أثناء تسلسل MapMessage JSON إلى إنتاج مخرجات غير صالحة بتنسيق JSON. يحدث هذا عند استخدام
MapMessage.asJson() أو MapMessage.getFormattedMessage(new String[]{”JSON“})، حيث تقوم هاتان الوظيفتان بإصدار رموز عارية غير مسموح بها وفقًا لمعيار RFC 8259. يمكن استغلال هذه المشكلة إذا كان التطبيق يستخدم مُحلل قوالب الأحداث الخاص بـ JsonTemplateLayout أو أي تخطيط آخر يعتمد على هذه الطرق، وقام بتسجيل MapMessage تحتوي على قيمة عائمة يتحكم فيها المهاجم. وقد يؤدي ذلك إلى JSON غير صحيح، مما قد يؤدي إلى إتلاف سجلات السجلات أو تعطيل عملية استيعاب السجلات وتحليلها في المراحل اللاحقة.التوصيات
بالنسبة للإصدارات من 2.13.1 إلى 2.25.4، قم بالترقية إلى Apache Log4j API 2.25.5.
بالنسبة للإصدار 2.26.0، قم بالترقية إلى Apache Log4j API 2.26.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾