CVE-2026-34481

Apache Log4j-nin JsonTemplateLayout komponenti (https://logging.apache.org/log4j/2.x/manual/json-template-layout.html ), 2.25.3 daxil olmaqla daha aşağı versiyalarda, loq hadisələri RFC 8259 tərəfindən qadağan edilmiş sonlu olmayan sürüşən nöqtəli dəyərlər (NaN, Infinity və ya -Infinity) ehtiva etdikdə yanlış JSON çıxışı yaradır. Bu, ardıcıl loq emalı sistemlərinin təsirə məruz qalmış qeydləri rədd etməsinə və ya indeksləyə bilməməsinə səbəb ola bilər. Hücumçu bu boşluqdan yalnız hər iki şərt ödənildikdə istifadə edə bilər: * Tətbiq JsonTemplateLayout istifadə edir. * Tətbiq MapMessage loqlayır və ya obyekti birbaşa loqlayır (məsələn, onu ObjectMessage ilə əhatə edən Logger.info(Object) vasitəsilə), burada mesaj hücumçunun nəzarətində olan sürüşən nöqtəli dəyər ehtiva edir. İstifadəçilərə bu problemi aradan qaldıran Apache Log4j JSON Template Layout 2.25.4 versiyasına yüksəltmə etmək tövsiyə olunur. Qeyd: Versiya 2.25.4-də təqdim edilən düzəliş bütün təsirə məruz qalmış kod yollarını əhatə etməmişdir. Apache Log4j API-da MapMessage.asJson() seriyallaşdırılmasına aid olan qalan problem üçün CVE-2026-49844 identifikatoru təyin edilmişdir və bu, 2.25.5 və 2.26.1 versiyalarında düzəldilmişdir.