- Yama var
- Son 7 gün
- CWE-386
CVE-2026-116486
Objenesis'te Sınıf Adına Dayalı Önbellek Nedeniyle Tip Karışıklığı Zafiyeti
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 2 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Objenesis 3.6 öncesi sürümler, bir sınıf yükleyicisindeki kodun sınıf adına göre anahtarlanan örnek oluşturucu (instantiator) önbellekleme mekanizmasından yararlanarak nesneleri başka bir sınıf yükleyiciye yerleştirmesine olanak tanıyan bir tip karışıklığı zafiyeti içermektedir. Paylaşılan bir ObjenesisStd örneği, ObjenesisBase.getInstantiatorOf metodunda örnek oluşturucuları clazz.getName değerine göre önbelleğe aldığında, aynı adı taşıyan sınıflar çakışmakta; bu da newInstance metodunun yanlış sınıfa ait nesneler döndürmesine ve ClassCastException hatalarına yol açmaktadır.
Kaynaktaki açıklama (İngilizce)
Objenesis before 3.6 contains a type confusion vulnerability that allows code in one class loader to substitute objects into another by exploiting instantiator caching keyed on class name. When a shared ObjenesisStd instance caches instantiators by clazz.getName() in ObjenesisBase.getInstantiatorOf(), same-named classes collide, causing newInstance() to return wrong-class objects and ClassCastException failures.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| easymock objenesis | < 3.6 | 3.6 |
| 3.6 Etkilenmiyor | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/…enesis/security/advisories/GHSA-743r-26gf-97ff Üretici bülteni
- github.com/…ommit/40f90f435a06b16af74a7398f0007faeaa52c00c Yama
- vulncheck.com/…pe-confusion-via-class-name-instantiator-cache Üçüncü taraf
- github.com/…src/main/java/org/objenesis/ObjenesisBase.java Diğer
- github.com/easymock/objenesis Diğer
Kayıt geçmişi
- Yayımlandı
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.