PT-2026-46269 · Unknown · Fory Fory-Core Java Sdk

R3Dw0Lfsec + 1 · CVE-2026-50076 · Publicado 2026-06-04 · Atualizado 2026-06-08

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Fory fory-core versões anteriores a 1.1.0

Description A desserialização de dados não confiáveis no caminho de substituição de resolução (replace-resolve) do Java em plataformas Java/JVM permite que um invasor remoto ignore as verificações de registro de classe, TypeChecker e DisallowedList. Ao utilizar dados serializados do Fory manipulados, um invasor pode invocar os hooks readResolve() e readExternal() presentes no classpath.

Recommendations Atualize para a versão 1.1.0 ou posterior.

Correção

RCE

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-50076

GHSA-8F39-V287-78JF

Produtos afetados

Fory Fory-Core Java Sdk

Referências · 11

• https://github.com/apache/fory · Nota
• https://twitter.com/oss_security/status/2063626373084700726 · Publicação no Twitter
• https://t.me/CVEtracker/55855 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-50076 · Nota de Segurança
• https://fory.apache.org/security · Aviso do Fabricante
• https://twitter.com/AndreGironda/status/2062591324097019983 · Publicação no Twitter
• http://openwall.com/lists/oss-security/2026/06/04/4 · Nota
• https://twitter.com/UpwindMDR/status/2062612613704438106 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-8f39-v287-78jf · Aviso do Fabricante
• https://twitter.com/dailycve/status/2064002651931525422 · Publicação no Twitter
• https://t.me/cveNotify/166476 · Publicação no Telegram