CVE-2026-44088 in SzafirHost
Resumen
por VulDB • 2026-05-15
SzafirHost verifica la firma del archivo JAR descargado utilizando la clase JarInputStream (leyendo desde el inicio del archivo), pero carga las clases mediante la clase JarFile/URLClassLoader (leyendo el Directorio Central desde el final). Esto puede provocar una ejecución remota de código (RCE) al permitir que un atacante combine un archivo JAR genuino y firmado con un archivo ZIP malicioso, haciendo que la verificación se supere pero que se cargue la clase maliciosa.
Este problema se solucionó en la versión 1.2.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.