CVE-2026-55153
Təsvir
mchange-commons-java, c3p0 connection pool kimi mchange layihələri tərəfindən istifadə olunan ümumi yardımçı siniflər kitabxanasıdır. 0.6.0 versiyasından əvvəl onun JNDI ObjectFactory implementasiyası (com.mchange.v2.naming.JavaBeanObjectFactory) ixtiyari siniflərin obyektlərini yaradır və "JavaBean" üslubunda xassələri işə salırdı ki, bu da müəyyən siniflər üçün JNDI inyeksiyasına və "deserializasiya qadcetlərinə" imkan verir. Belə işə salma bəzi siniflər üçün təhlükəsiz deyil: məsələn, Swing JEditorPane-in contentType xassəsinin text/html-ə və text xassəsinin stylesheet <link> ehtiva edən HTML-ə təyin edilməsi, potensial olaraq etibarlı təhlükəsizlik domenindən ixtiyari URL-ə HTTP GET sorğusuna səbəb olacaq. Problem kitabxananın ReferenceIndirector komponenti ilə daha da ağırlaşır; onun vasitəsilə zərərli JNDI Reference obyektləri, tətbiqin Java ilə serializasiya edilmiş obyekti oxuduğu istənilən yerdə dereferensiya üçün ötürülə bilər. Bu, 0.6.0 versiyasında həll edilmişdir.
Necə düzəltmək olar
- com.mchange:mchange-commons-java0.6.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| com.mchange:mchange-commons-javaMaven | v < 0.6.0 | 0.6.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.