Wildfly-ejb: wildfly-iiop-openjdk: eap iiop listeners may permit unauthed deserialization

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

Wildfly's IIOP listener may permit deserialization of input streams before authentication is performed. An attacker who can gain access to the IIOP port may be able to construct and send malicious objects and achieve deserialization, if the target EJB allows untyped method parameters, and depending on the potential gadget chains available in the running classpath.

Etkilenen sürümler2 yazılım

Kaynaklar4 kaynak

• CVE.org kaydı
• NVD kaydı
• bugzilla.redhat.com/show_bug.cgi Üçüncü taraf
• access.redhat.com/security/cve/CVE-2026-15564 Diğer

Kayıt geçmişi

1. 29 Eki 2026 09:07Yayımlandı

İlgili açıklar

• 7,4 CVE-2026-114488Wildfly: wildfly-iiop: wildfly-ejb3: wildfly: authentication bypass on iiop ejb invocations as csiv2 ittprincipalname accepted without transport binding
• 6,5 CVE-2026-19610Wildfly-platform-mbean: wildfly-platform-mbean: rbac sensitive attribute read bypass for platform runtimemxbean
• 8,1 CVE-2026-84725JBoss EAP openjdk-orb: IIOP üzerinden yetkisiz sınıf yükleme açığı
• 3,7 CVE-2026-114370Undertow PathResourceManager'da kardeş dizin sembolik bağlantı üzerinden yol geçişi açığı
• 7,8 CVE-2026-59176Functype MCP sunucusunda set_functype_version aracı ile uzaktan kod çalıştırma
• 7,8 CVE-2026-59172Joker linter, proje dizinindeki .jokerd/linter.* dosyalarını çalıştırıyor (kod çalıştırma)