CVE-2026-50076
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
W bibliotece Apache Fory fory-core Java SDK przed wersją 1.1.0 występuje podatność na deserializację niezaufanych danych w ścieżce Java replace-resolve. Zdalny atakujący może ominąć mechanizmy kontroli klas, TypeChecker i DisallowedList oraz wywołać hooki readResolve/readExternal za pomocą spreparowanych danych serializowanych Fory.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolny kod w kontekście aplikacji, co prowadzi do pełnego przejęcia systemu i naruszenia poufności, integralności oraz dostępności danych.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Apache Fory fory-core Java SDK do wersji 1.1.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data in the Java replace-resolve path in Apache Fory fory-core Java SDK before 1.1.0 on Java/JVM platforms allows a remote attacker to bypass class registration, TypeChecker, and DisallowedList checks and invoke classpath-present readResolve/readExternal hooks via crafted Fory serialized data. Users are recommended to upgrade to version 1.1.0 or later, which fixes this issue.