CVE-2026-51947-Advisory

حول

تصحيح Pivotal CRM لثغرة إلغاء التسلسل الأولية كان غير مكتمل. غيّر الإصلاح من BinaryFormatter إلى JSON.NET لكنه أبقى TypeNameHandling مضبوطًا على 4 دون تنفيذ SerializationBinder، مما سمح للمهاجمين بتنفيذ تعليمات برمجية عشوائية عبر حمولات $type خبيثة. تم إصلاحه في الإصدار 6.6.5.10 وملف Patch_CWE502_20260316.zip.