CVE-2026-22187

सारांश

# Bio-Formats संस्करण 8.3.0 तक (सहित) छवि प्रसंस्करण के दौरान हमलावर-नियंत्रित मेमोइज़ेशन कैश फ़ाइलों (.bfmemo) का असुरक्षित Java डिसीरियलाइज़ेशन करते हैं। loci.formats.Memoizer क्लास बिना सत्यापन, अखंडता जाँच, या विश्वास प्रवर्तन के छवियों से जुड़ी मेमो फ़ाइलों को स्वचालित रूप से लोड और डिसीरियलाइज़ करता है। एक हमलावर जो किसी छवि के साथ एक निर्मित .bfmemo फ़ाइल प्रदान कर सकता है, वह अविश्वसनीय डेटा का डिसीरियलाइज़ेशन ट्रिगर कर सकता है, जिसके परिणामस्वरूप सेवा से वंचित करना, लॉजिक हेरफेर, या संभावित रूप से उन वातावरणों में दूरस्थ कोड निष्पादन हो सकता है जहाँ क्लासपाथ पर उपयुक्त गैजेट चेन मौजूद हैं।

• CVE-2026-22187-Bio-Formats-unsafe-Java-deserialization-via-.bfmemoPoC

  Bio-Formats ≤ 8.3.0 छवि प्रसंस्करण के दौरान हमलावर-नियंत्रित .bfmemo कैश फ़ाइलों का असुरक्षित Java डिसीरियलाइज़ेशन करता है; निर्मित .bfmemo अविश्वसनीय डेटा का डिसीरियलाइज़ेशन ट्रिगर कर सकता है (DoS/लॉजिक हेरफेर; यदि गैजेट चेन मौजूद हैं तो संभावित RCE)।