CVE-2021-39147

Versões do XStream anteriores à 1.4.18

A vulnerabilidade permite que um invasor remoto carregue e execute código arbitrário a partir de um host remoto, manipulando o fluxo de entrada processado. Os usuários que configuraram a estrutura de segurança do XStream com uma lista de permissões (whitelist) limitada aos tipos mínimos necessários não são afetados. A vulnerabilidade está relacionada ao uso de uma lista de restrições (blacklist), que não pode ser protegida para uso geral, e foi corrigida no XStream 1.4.18 com o uso de uma lista de permissões (whitelist) por padrão.

Para versões anteriores à 1.4.18, configure a estrutura de segurança do XStream com uma lista de permissões limitada aos tipos mínimos necessários para evitar a exploração.

Como solução alternativa temporária, considere configurar a estrutura de segurança para permitir apenas os tipos necessários até que um patch esteja disponível.