CVE-2026-71558
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Podatność typu heap type confusion w Apache Fory C++ podczas deserializacji. Specjalnie spreparowane dane wejściowe mogą ominąć sprawdzanie zgodności typów podczas deserializacji polimorficznych inteligentnych wskaźników, co prowadzi do traktowania obiektu niezgodnego typu jako zadeklarowanego typu bazowego. Może to skutkować niezdefiniowanym zachowaniem, a potencjalnie odmową usługi lub wykonaniem dowolnego kodu.
Ocena ryzyka
Ryzyko obejmuje potencjalną odmowę usługi lub zdalne wykonanie kodu w aplikacjach używających Apache Fory C++ z deserializacją polimorficznych inteligentnych wskaźników. Atakujący może wykorzystać tę podatność do przejęcia kontroli nad systemem lub zakłócenia działania usług.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache Fory do wersji 1.5.0, która naprawia ten problem. Aplikacje niekorzystające z deserializacji polimorficznych inteligentnych wskaźników nie są zagrożone.
Oryginalny opis (angielski, źródło NVD)
Heap type confusion vulnerability in Apache Fory C++ deserialization. This issue affects Apache Fory C++ versions from 0.14.0 before 1.5.0. A crafted input payload can bypass type compatibility checks during polymorphic smart-pointer deserialization, causing an object of an incompatible type to be treated as the declared base type. This may result in undefined behavior and potentially lead to denial of service or arbitrary code execution. Users are recommended to upgrade to Apache Fory 1.5.0, which fixes this issue. Applications not using Apache Fory C++ polymorphic smart-pointer deserialization are not affected.