CVE-2026-57527

Nome do Software Vulnerável e Versões Afetadas Zed Attack Proxy (ZAP) ViewState add-on versões anteriores a 4

Description Um problema de desserialização insegura existe onde atacantes que controlam um servidor web proximizado podem alcançar a execução arbitrária de código. Isso ocorre ao incorporar um objeto Java serializado malicioso no parâmetro de resposta HTTP javax.faces.ViewState. A função JSFViewState.decode() decodifica o valor em base64 e o passa para ObjectInputStream.readObject() sem um filtro de desserialização, lista de permissões ou restrição de tipo, levando à desserialização do objeto malicioso dentro da JVM do ZAP quando a interface do usuário do Desktop renderiza o painel ViewState.

Recommendations Atualize o Zed Attack Proxy (ZAP) ViewState add-on para a versão 4 ou posterior.