CVE-2026-15555
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W JBoss marshalling ścieżka replikacji sesji Infinispan deserializuje zreplikowane dane sesji za pomocą unmarshaller'a JBoss Marshalling River bez filtrowania klas, co umożliwia zdalne wykonanie kodu (RCE) poprzez łańcuchy gadżetów deserializacji na każdym węźle klastra.
Ocena ryzyka
Ryzyko zdalnego wykonania kodu na wszystkich węzłach klastra, co może prowadzić do całkowitego przejęcia systemu i naruszenia danych.
Rekomendacja
Zastosuj poprawki dostawcy dodające filtrowanie klas w unmarshallerze i ogranicz dostęp sieciowy do portów replikacji.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in JBoss marshalling. The Infinispan session replication path deserializes replicated session data via the JBoss Marshalling River unmarshaller with no class filtering — enabling RCE via deserialization gadget chains on every cluster node.