CVE-2026-86404 in AMQ Broker
Résumé
par VulDB • 07/09/2026
La configuration de désérialisation d'Artemis pour EAP permet la désérialisation par défaut. ObjectMessage.getObject() utilise ObjectInputStreamWithClassLoader, qui implémente un filtrage via liste blanche/liste noire grâce à ses méthodes checkSecurity()/isTrustedType(). Cependant, par défaut, les deux listes (blanche et noire) sont vides. Lorsque la liste blanche est vide (size == 0), isTrustedType() renvoie true pour TOUS les types de classes. Cela signifie que tous les types de classes peuvent être désérialisés par défaut.
If you want to get best quality of vulnerability data, you may have to visit VulDB.