PT-2026-46269

CVE-2026-50076

Publicado

2026-06-04

Atualizado

2026-06-08

Descrição por

CVSS 3.1

9.1

Crítica

MétricasAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Fory fory-core versões anteriores a 1.1.0

Description A desserialização de dados não confiáveis no caminho de substituição de resolução (replace-resolve) do Java em plataformas Java/JVM permite que um invasor remoto ignore as verificações de registro de classe, TypeChecker e DisallowedList. Ao utilizar dados serializados do Fory manipulados, um invasor pode invocar os hooks readResolve() e readExternal() presentes no classpath.

Recommendations Atualize para a versão 1.1.0 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

R3Dw0Lfsec

Venkatraman Kumar

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-502: Deserialization of Untrusted Data