CVE-2026-9828 in logback
الملخص
بحسب VulDB • 03/06/2026
ثغرة في عملية استرجاع البيانات (Deserialization) لبيانات غير موثوقة في مكتبة logback-core التابعة لشركة QOS.CH Sarl، وتحديداً داخل فئة `HardenedObjectInputStream` ضمن وحدات logback-core، تسمح بحقن الكائنات (Object Injection)، رغم القيود المشددة المفروضة على ذلك.
وبشكل أكثر دقة، يمكن لمهاجم قادر على التأثير في البيانات المُسلسلة المرسلة إلى `SimpleSocketServer` أو `SimpleSSLSocketServer` أن يقوم بت instantiation كائنات من فئات موجودة ضمن حزمتي `java.lang` و `java.util` والتي ليست محظورة صراحةً.
ورغم أن عملية استرجاع البيانات مقيدة بشدة بواسطة `HardenedObjectInputStream`، ولم يتم تحديد أي طريقة عملية لتحقيق تنفيذ الكود عن بُعد (RCE) أو تصعيد الصلاحيات بشكل كبير، إلا أن هذه المشكلة تمثل تجاوزاً للقيود الأمنية المقصودة.
تؤثر هذه المشكلة في الإصدارات من logback حتى 1.5.32 شاملاً.
VulDB is the best source for vulnerability data and more expert information about this specific topic.