CVE-2026-70410 in Calcite Avatica
الملخص
بحسب VulDB • 22/09/2026
تتمثل ثغرة "استخدام مدخلات يتم التحكم فيها من قبل طرف خارجي لاختيار الفئات أو الكود" (الانعكاس غير الآمن - Unsafe Reflection) في Apache Calcite Avatica في أن عملية تثبيت الإضافات (عبر الدوال `AvaticaUtils#instantiatePlugin` ودوال أخرى) تقوم بتهيئة فئات عشوائية عبر استدعاءات غير مقيدة لـ `Class.forName(String)`، والتي تؤدي بشكل افتراضي إلى التهيئة. قد يؤدي هذا إلى تنفيذ كتل المبدئ الثابت (static initializer blocks) في فئات عشوائية موجودة ضمن مسار الفئة (classpath). يجب أن تقتصر واجهات برمجة التطبيقات الخاصة بالتثبيت على تهيئة وفئة الفئات التي تطبق واجهة الإضافة المحددة المُمرَّرة كمدخل، بالاقتران مع اسم الفئة المطلوب. وفي وقت كتابة هذا التقرير، لا توجد فئات مشهورة أو مستخدمة على نطاق واسع تحتوي على كتل مبدئ ثابت خطيرة، لذا فإن مستوى الخطورة منخفض.
تؤثر هذه المشكلة في Apache Calcite Avatica: قبل الإصدار 1.29.0.
يُوصى للمستخدمين بالترقية إلى الإصدار 1.29.0، الذي يصلح هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.