CVE-2026-64606
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
Podatność na deserializację niezaufanych danych w Apache Fory umożliwia ominięcie kontroli rejestracji klas podczas deserializacji lambd Javy. Problem dotyczy wyłącznie klasy przechwytującej lambdę.
Ocena ryzyka
Atakujący może zdalnie wykonać nieautoryzowany kod lub przeprowadzić ataki typu deserializacja, co prowadzi do naruszenia poufności, integralności lub dostępności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Fory do wersji 1.4.0, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Deserialization of untrusted data vulnerability that may allow class-registration checks to be bypassed during Java lambda deserialization. Only lambda capture class is affected This issue affects Apache Fory: from before 1.4.0. Users are recommended to upgrade to version 1.4.0, which fixes the issue.