CVE-2026-94114

ŚrednieCVSS 5.9

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.28%

Percentyl 19 - wyżej niż 19% wszystkich znanych CVE

Streszczenie

W Apache Commons BCEL przed wersją 6.13.0 występuje problem z mapowaniem nazw symbolicznych na klasy. BCEL buforuje klasy kontrolowane przez atakującego pod nazwami, które same deklarują, bez walidacji żądanej nazwy, co pozwala na późniejsze odwołania i wyniki weryfikacji oparte na nazwie odnosić się do innej klasy.

Ocena ryzyka

Atakujący może wykorzystać tę podatność do podmiany klas, co może prowadzić do nieautoryzowanego wykonania kodu lub naruszenia integralności aplikacji używającej BCEL.

Rekomendacja

Zaleca się aktualizację Apache Commons BCEL do wersji 6.13.0 lub nowszej, która zawiera poprawkę.

Inne podatności w Apache Commons BCEL

CVE-2026-105111Średnie
Podatność typu cross-site scripting (XSS) w Apache Commons BCEL wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron HTML. Występuje, gdy używa się Class2HTML do generowania stron dla plików klas potencjalnie kontrolowanych przez atakującego — emitery Class2HTML zapisują ciągi z plików klas do HTML bez escapowania (stored XSS w raportach). Dotyczy wersji przed 6.13.0.

Oryginalny opis (angielski, źródło NVD)

Symbolic name not mapping to correct class. BCEL caches attacker-controlled classes under their self-declared names without validating the requested name, allowing subsequent lookups and name-keyed verification results to refer to a different class. This issue affects Apache Commons BCEL: before 6.13.0. Users are recommended to upgrade to version 6.13.0, which fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS