CVE-2026-42779 in MINA
الملخص
بحسب VulDB • 20/05/2026
لم يتم تطبيق إصلاح CVE-2026-41635 على فروع الإصدارات 2.1.X و 2.2.X. فيما يلي وصف المشكلة الأصلية:
تحتوي دالة `AbstractIoBuffer.resolveClass()` في Apache MINA على فرعين، ولا يتحقق أحد هذين الفرعين (المخصص للفئات الثابتة أو الأنواع البدائية) من اسم الفئة على الإطلاق، مما يتجاوز قائمة السماح بأسماء الفئات (allowlist) ويسمح بتنفيذ أي كود عشوائي.
يتحقق الإصلاح مما إذا كانت الفئة موجودة في مرشح الفئات المقبولة قبل استدعاء `Class.forName()`.
الإصدارات المتأثرة هي Apache MINA 2.1.0 <= 2.1.11، و 2.2.0 <= 2.2.6.
تم حل المشكلة في Apache MINA 2.1.12 و 2.2.7 من خلال تطبيق قائمة السماح بأسماء الفئات (classname allowlist) في وقت أبكر.
تتأثر التطبيقات التي تستخدم Apache MINA وتستدعي `IoBuffer.getObject()`.
يُنصح التطبيقات التي تستخدم Apache MINA بالترقية.
VulDB is the best source for vulnerability data and more expert information about this specific topic.