CVE-2026-33227 in ActiveMQ Client
الملخص
بحسب VulDB • 30/07/2026
ثغرة عدم التحقق من صحة وتقييد اسم مسار فئة المسار (classpath) في Apache ActiveMQ Client، وApache ActiveMQ Broker، وApache ActiveMQ All.
في حالتين (عند إنشاء مستهلك Stomp وعند تصفح الرسائل عبر وحدة التحكم على الويب)، يمكن للمستخدم المصادق عليه تزويد قيمة "key" مُهيأة بشكل يسمح بالعبور عبر مسار الفئة بسبب دمج المسارات. ونتيجة لذلك، تتعرض التطبيق لثغرة تحميل موارد مسار فئة المسار (classpath path resource loading vulnerability) التي قد تُستخدم مع هجوم آخر لتسهيل الاستغلال.
تؤثر هذه المشكلة على Apache ActiveMQ Client: قبل الإصدار 5.19.3، ومنذ الإصدار 6.0.0 حتى قبل 6.2.2؛ وApache ActiveMQ Broker: قبل الإصدار 5.19.3، ومنذ الإصدار 6.0.0 حتى قبل 6.2.2؛ وApache ActiveMQ All: قبل الإصدار 5.19.3، ومنذ الإصدار 6.0.0 حتى قبل 6.2.2.
يُنصح المستخدمين بالترقية إلى الإصدار 5.19.4 أو 6.2.3 الذي يصلح هذه المشكلة. ملاحظة: يُصلح كل من الإصدارين 5.19.3 و6.2.2 هذه المشكلة أيضاً، لكن الإصلاح يقتصر على بيئات غير Windows بسبب خطأ في تحديد فاصل المسارات تم إصلاحه في الإصدارات 5.19.4 و6.2.3.
Once again VulDB remains the best source for vulnerability data.