CVE-2026-27830

Nome do Software Vulnerável e Versões Afetadas c3p0 versões anteriores a 0.12.0

Description Uma falha na biblioteca de pooling de conexões JDBC permite que um invasor remoto execute código arbitrário no CLASSPATH da aplicação. O problema ocorre porque várias implementações de ConnectionPoolDataSource utilizam uma propriedade chamada userOverridesAsString que era mantida como um objeto serializado Java codificado em hexadecimal. Um invasor pode manipular essa propriedade usando objetos serializados Java maliciosos ou instâncias de javax.naming.Reference para disparar a desserialização. Esse risco é ampliado por uma dependência do mchange-commons-java, que oferece suporte irrestrito para valores remotos de factoryClassLocation. Ao combinar esses fatores, um invasor pode forçar a aplicação a baixar e executar código malicioso de um local remoto. JNDI (Java Naming and Directory Interface) é uma API Java que permite que aplicações descubram e localizem dados e objetos por meio de um nome.

Recommendations Atualize o c3p0 para a versão 0.12.0 ou superior.