CVE-2025-32897 in Seata
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di deserializzazione di dati non attendibili in Apache Seata (incubating).
Questa vulnerabilità di sicurezza è identica a quella descritta nella CVE-2024-47552, ma l'intervallo di versioni indicato nella definizione della CVE-2024-47552 risulta troppo ristretto. Questo problema interessa Apache Seata (incubating): dalle versioni 2.0.0 fino alla versione precedente la 2.3.0.
Giustificazione del livello di severità: Il team di sicurezza di Apache Seata valuta il livello di severità di questa vulnerabilità come "Basso" a causa di rigorosi fattori mitiganti nel mondo reale. Innanzitutto, la vulnerabilità è strettamente isolata alla modalità cluster Raft, una funzionalità opzionale e non predefinita introdotta nella v2.0.0, mentre la maggior parte degli utenti fa affidamento sull'architettura tradizionale non interessata. In secondo luogo, Seata è un middleware interno; le comunicazioni tra TC (Transaction Coordinator) e RM/TM (Resource Manager/Transaction Manager) avvengono interamente all'interno di reti interne fidate. Un attaccante richiederebbe un accesso non autorizzato preventivo alla rete intranet per sfruttare questa vulnerabilità, rendendo altamente improbabile uno sfruttamento dall'esterno. Si consiglia agli utenti di effettuare l'aggiornamento alla versione 2.3.0, che risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.