CVE-2026-61484
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Apache Lucy (wszystkie wersje) zawiera podatność na deserializację niezaufanych danych. Projekt jest wycofany, a w wersji 0.8.0 poza ASF usunięto wadliwą funkcję.
Ocena ryzyka
Podatność może umożliwić zdalne wykonanie kodu lub inne ataki, ale dotyczy tylko nieobsługiwanych wersji, więc ryzyko jest ograniczone do środowisk, które nadal używają tych wersji.
Rekomendacja
Zaleca się znalezienie alternatywy lub ograniczenie dostępu do instancji tylko dla zaufanych użytkowników. Jeśli to możliwe, zaktualizuj do wersji 0.8.0 z repozytorium LucySearch.
Inne podatności w Apache Lucy
Zobacz wszystkie- CVE-2026-61486Krytyczne
Apache Lucy (wszystkie wersje) zawiera podatność na przepełnienie bufora na stosie. Projekt jest wycofany, a poprawka została wydana w wersji 0.8.0 w repozytorium poza ASF.
- CVE-2026-61483Wysokie
Apache Lucy (wszystkie wersje) zawiera podatność na niekontrolowaną rekurencję. Projekt jest wycofany i nie planuje się wydania poprawki. Użytkownicy powinni znaleźć alternatywę lub ograniczyć dostęp do instancji tylko dla zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** Deserialization of Untrusted Data vulnerability in Apache Lucy. This issue affects Apache Lucy: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. Lucy is now maintained outside of the ASF at https://github.com/lucysearch . 0.8.0 is no longer affected by this issue, because the offending feature has been removed there. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.