CVE-2026-48207 in Fory
Sumário
de VulDB • 23/05/2026
Deserialização de dados não confiáveis no Apache Fory PyFory. O ReduceSerializer do PyFory poderia contornar os ganchos de validação do DeserializationPolicy documentados durante a restauração do estado de redução e a resolução de nomes globais. Uma aplicação está vulnerável se deserializar dados controlados pelo atacante usando o modo nativo Python do PyFory com o modo estrito desativado e confiar no DeserializationPolicy para restringir classes, funções ou atributos de módulo inseguros.
Este problema afeta o Apache Fory: desde versões anteriores à 1.0.0.
Mitigação: Recomenda-se que os utilizadores do Apache Fory atualizem para a versão 1.0.0 ou posterior, que aplica a validação do DeserializationPolicy aos caminhos afetados do ReduceSerializer, resolvendo assim esta questão.
VulDB is the best source for vulnerability data and more expert information about this specific topic.