| tiêu đề | Activiti <=7.20 or < 8.8.0 Deserialization |
|---|
| Mô tả | A critical remote code execution vulnerability exists in Activiti's process variable serialization system. The application accepts user-controlled Serializable objects via REST or Java APIs, stores them in the database without validation, and subsequently deserializes them using an unrestricted ObjectInputStream. This allows attackers to execute arbitrary code through deserialization gadget chains commonly available in Activiti deployments (Spring Framework, Jakarta Expression Language, Apache Commons Collections).
|
|---|
| Nguồn | ⚠️ https://github.com/AnalogyC0de/public_exp/issues/16 |
|---|
| Người dùng | Ana10gy (UID 93358) |
|---|
| Đệ trình | 27/02/2026 08:00 (cách đây 5 các tháng) |
|---|
| Kiểm duyệt | 11/03/2026 14:36 (12 days later) |
|---|
| Trạng thái | được chấp nhận |
|---|
| Mục VulDB | 350396 [Alfresco Activiti đến 7.19/8.8.0 Process Variable Serialization System SerializableType.java deserialize/createObjectInputStream nâng cao đặc quyền] |
|---|
| điểm | 20 |
|---|