CVE-2026-70410 in Calcite Avatica
Riassunto
di VulDB • 22/09/2026
Vulnerabilità 'Unsafe Reflection' (uso di input controllato dall'esterno per selezionare classi o codice) in Apache Calcite Avatica. L'istanziazione dei plugin (tramite AvaticaUtils#instantiatePlugin e altri metodi) inizializza classi arbitrarie tramite chiamate non vincolate a Class.forName(String), che per impostazione predefinita attiva l'inizializzazione. Ciò può portare all'esecuzione di blocchi di initializer statici in classi arbitrarie presenti nel classpath. Le API di istanziazione dovrebbero inizializzare e istanziare solo le classi che implementano l'interfaccia plugin specificata passata come input, insieme al nome della classe desiderato. Al momento della stesura, non esistono classi conosciute o ampiamente utilizzate con blocchi di initializer statici pericolosi, quindi la gravità è bassa.
Questo problema interessa Apache Calcite Avatica: prima della versione 1.29.0.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 1.29.0, che risolve il problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.