CVE-2026-64678

Nome do Software Vulnerável e Versões Afetadas Nitrite versões anteriores a 4.4.1

Description Um problema de desserialização insegura ocorre quando o banco de dados abre um arquivo e aciona um caminho de migração automática para stores de formato legado v1. O processo utiliza a função MVStoreUtils.openOrCreate(), que chama NitriteDataType.deserialize(byte[]). Esta função passa bytes brutos para java.io.ObjectInputStream.readObject() através de uma subclasse NitriteObjectInputStream personalizada que não possui uma allowlist, blocklist ou ObjectInputFilter. Consequentemente, qualquer classe Serializable no classpath da aplicação pode ser instanciada, permitindo potencialmente que um invasor remoto não autenticado execute código remotamente se uma classe gadget adequada estiver presente.

Recommendations Atualizar para a versão 4.4.1.