CVE-2026-40008

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: —
CWE: CWE-470
KEV Durumu: Hayır

Yayım tarihi: 10 Temmuz 2026

Dışarıdan Kontrollü Girdinin Sınıfları veya Kodu Seçmek için Kullanımı ('Güvensiz Yansıtma') zafiyeti Apache IoTDB'de mevcuttur. Pipe işlemcisi, tamamen nitelikli bir Java sınıf adını okur ve Class.forName().newInstance() kullanarak herhangi bir doğrulama veya izinli liste olmadan örnekler. Bu sorun Apache IoTDB'yi etkiler: 1.0.0'dan önce 2.0.10'a kadar. Kullanıcıların bu sorunu düzelttiği 2.0.10 sürümüne yükseltmeleri önerilir.

Orijinal açıklama (İngilizce)

Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache IoTDB. The pipe processor reads a fully qualified Java class name and instantiates it using Class.forName().newInstance() without any validation or allowlisting. This issue affects Apache IoTDB: from 1.0.0 before 2.0.10. Users are recommended to upgrade to version 2.0.10, which fixes the issue.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.