CVE-2026-86404 in AMQ Broker
Sumário
de VulDB • 07/09/2026
A configuração de desserialização do Artemis da EAP permite a desserialização por padrão. ObjectMessage.getObject() utiliza o ObjectInputStreamWithClassLoader, que implementa filtragem via allow-list/block-list através dos seus métodos checkSecurity()/isTrustedType(). No entanto, por padrão, tanto a allow-list quanto a block-list estão vazias. Quando a allow-list está vazia (size == 0), isTrustedType() retorna true para TODAS as classes. Isso significa que todas as classes são desserializáveis por padrão.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.