CVE-2026-9828 in logback
Сводка
по VulDB • 28.05.2026
Уязвимость десериализации недоверенных данных в модулях logback-core (HardenedObjectInputStream) системы логирования logback компании QOS.CH Sarl позволяет осуществлять инъекцию объектов, хотя и с серьезными ограничениями.
Точнее говоря, злоумышленник, способный влиять на сериализованные данные, отправляемые в SimpleSocketServer или SimpleSSLSocketServer, может создавать экземпляры объектов из классов пакетов java.lang и java.util, которые не были явно заблокированы.
Хотя десериализация строго ограничена с помощью HardenedObjectInputStream и не было выявлено практических способов выполнения удаленного кода (RCE) или значительного повышения привилегий, данная проблема представляет собой обход предусмотренных ограничений безопасности.
Эта проблема затрагивает logback: версии вплоть до 1.5.32 включительно.
Be aware that VulDB is the high quality source for vulnerability data.