CVE-2026-71560
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Podatność na odczyt poza zakresem w deserializacji C++ w Apache Fory. Problem dotyczy wersji od 0.14.0 przed 1.5.0 podczas deserializacji struktur zawierających pola z liczbami całkowitymi z tagiem. Specjalnie spreparowane dane wejściowe mogą wywołać odczyt poza zakresem sterty w szybkiej ścieżce deserializacji, co może prowadzić do ujawnienia informacji lub odmowy usługi.
Ocena ryzyka
Atakujący może wykorzystać podatność do uzyskania nieautoryzowanego dostępu do danych lub spowodowania awarii aplikacji, co prowadzi do niedostępności usług.
Rekomendacja
Zaktualizuj Apache Fory C++ do wersji 1.5.0 lub nowszej. Jeśli nie używasz pól z tagowanymi liczbami całkowitymi, ryzyko jest mniejsze, ale zalecana jest aktualizacja.
Oryginalny opis (angielski, źródło NVD)
Out-of-bounds Read vulnerability in Apache Fory C++ deserialization. This issue affects Apache Fory C++ versions from 0.14.0 before 1.5.0 when deserializing structs containing tagged integer fields. A crafted input payload may trigger an out-of-bounds heap read in the tagged integer fast-path deserializer, potentially causing information disclosure or denial of service. Users are recommended to upgrade to Apache Fory 1.5.0, which fixes this issue. Applications that do not use Apache Fory C++ or do not use tagged integer fields are not affected.