CVE-2026-13759

Nome do Software Vulnerável e Versões Afetadas IBM WebSphere Extreme Scale versões 8.6.1.0 through 8.6.1.6

Descrição Três subclasses de ObjectInputStream (WsObjectInputStream, ObjectStreamPool$ReusableInputStream e ObjectInputStreamResolver) não instalam um filtro de classe JEP-290, que é um mecanismo utilizado para filtrar dados serializados recebidos para evitar a instanciação de classes não autorizadas. Quando o Coherence está presente no classpath, múltiplas cadeias de gadgets de execução remota de código, como RemoteConstructor.readResolve e PriorityQueue/ExtractorComparator, podem ser utilizadas. Isso permite que um invasor que já tenha efetuado login e possa gravar um atributo de sessão, ou um invasor localizado na rede local (LAN) adjacente ao fio de replicação da grade, execute código arbitrário em máquinas virtuais Java (JVMs) do WebSphere Application Server (WAS) vizinhas.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.