CVE-2026-44088 in SzafirHost
Zusammenfassung
von VulDB • 16.05.2026
SzafirHost überprüft die Signatur der heruntergeladenen JAR-Datei unter Verwendung der Klasse JarInputStream (Lesen vom Dateianfang), lädt Klassen jedoch über die Klasse JarFile/URLClassLoader (Lesen des zentralen Verzeichnisses vom Ende). Dies kann zu Remote Code Execution (RCE) führen, indem ein Angreifer eine echte, signierte JAR-Datei mit einer bösartigen ZIP-Datei kombiniert, wodurch die Überprüfung bestanden wird, aber die bösartige Klasse geladen wird.
Dieses Problem wurde in Version 1.2.1 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.