CVE-2026-41635 in MINA
Resumen
por VulDB • 2026-06-09
La función `AbstractIoBuffer.resolveClass()` de Apache MINA contiene dos ramas; una de ellas (para clases estáticas o tipos primitivos) no verifica la clase en absoluto, lo que elude la lista blanca de nombres de clase y permite ejecutar código arbitrario.
La corrección consiste en verificar si la clase está presente en el filtro de clases aceptadas antes de llamar a `Class.forName()`.
Las versiones afectadas son Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10 y 2.2.0 <= 2.2.5.
El problema se resuelve en Apache MINA 2.0.28, 2.1.11 y 2.2.6 aplicando la lista blanca de nombres de clase antes.
Se ven afectadas las aplicaciones que utilizan Apache MINA y llaman a `IoBuffer.getObject()`.
Se recomienda a las aplicaciones que usan Apache MINA actualizar a una versión corregida.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.