CVE-2026-55223

c3p0 JDBC Connection hovuzu kitabxanasıdır. 0.14.0-dan əvvəlki versiyalarda c3p0 digər kitabxanalarla birlikdə deserializasiya qadcetləri üçün "sink" təşkil edə bilər. JDBC spesifikasiyasının DataSource.getConnection() və ConnectionPoolDataSource.getPooledConnection() metodları getXXX() formasına uyğun gəldiyi üçün JavaBean kitabxanaları onları "xassə" kimi qəbul edib təhlükəsiz sayır, halbuki onlar əslində JDBC drayverlərinə müraciət edir. Beləliklə, hücumçular xassə axtarışları zəif drayverləri işə salan zərərli DataSource obyektləri hazırlayıb, onları seriallaşdırılmış formada tətbiqin deserializasiya etdiyi və bean xassələrini avtomatik həll etdiyi yerə ötürərək hücumu tetikləyə bilər. Bu, CLASSPATH-da həssas DataSource/ConnectionPoolDataSource və JDBC drayverinin, həmçinin deserializasiya zamanı JavaBean xassələrini avtomatik axtaran daşıyıcının olmasını tələb edir; ən çox rast gəlinən hal bean xassələri üzrə sıralayan Apache commons-beanutils Comparator ilə birlikdə kolleksiyadır. c3p0 həmin həssas DataSource/ConnectionPoolDataSource-u təmin edirdi ki, bu da tetikləyicinin vacib komponenti idi. Bu problem 0.14.0 versiyasında düzəldilmişdir.