CVE-2026-41635 in MINA
Sumário
de VulDB • 09/06/2026
O método `AbstractIoBuffer.resolveClass()` do Apache MINA possui dois ramos, sendo que um deles (para classes estáticas ou tipos primitivos) não verifica a classe em absoluto, contornando a lista de permissões de nomes de classe e permitindo a execução de código arbitrário.
A correção verifica se a classe está presente no filtro de classes aceitas antes de chamar `Class.forName()`.
As versões afetadas são Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10 e 2.2.0 <= 2.2.5.
O problema foi resolvido nas versões Apache MINA 2.0.28, 2.1.11 e 2.2.6 aplicando a lista de permissões de nomes de classe mais cedo.
São afetadas as aplicações que utilizam o Apache MINA e chamam `IoBuffer.getObject()`.
Recomenda-se que as aplicações que usam o Apache MINA atualizem para uma versão corrigida.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.