CVE-2026-25747
उच्चप्रकाशित
Apache Camel LevelDB: Camel LevelDB में अविश्वसनीय डेटा का डिसीरियलाइज़ेशन
- प्रकाशित
- 23 फ़र॰ 2026
- अद्यतन
- 17 अग॰ 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 27 अग॰ 2026
प्राथमिक सीवीएसएस
8.8/ 10उच्च
Apache Camel LevelDB: Camel LevelDB में अविश्वसनीय डेटा का डिसीरियलाइज़ेशन
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Apache Camel LevelDB घटक में अविश्वसनीय डेटा का डिसीरियलाइज़ेशन (Deserialization of Untrusted Data) भेद्यता। Camel-LevelDB DefaultLevelDBSerializer क्लास, LevelDB एग्रीगेशन रिपॉज़िटरी से पढ़े गए डेटा को java.io.ObjectInputStream का उपयोग करके डिसीरियलाइज़ करती है, बिना किसी ObjectInputFilter या क्लास-लोडिंग प्रतिबंध लागू किए। कोई हमलावर जो किसी Camel एप्लिकेशन द्वारा उपयोग किए जाने वाले LevelDB डेटाबेस फ़ाइलों में लिख सकता है, वह एक क्राफ्टेड सीरियलाइज़्ड Java ऑब्जेक्ट इंजेक्ट कर सकता है, जो सामान्य एग्रीगेशन रिपॉज़िटरी संचालन के दौरान डिसीरियलाइज़ होने पर, एप्लिकेशन के संदर्भ में मनमाना कोड निष्पादन (arbitrary code execution) का परिणाम देता है। यह समस्या Apache Camel को प्रभावित करती है: 4.10.0 से पहले 4.10.8 तक, 4.14.0 से पहले 4.14.5 तक, 4.15.0 से पहले 4.18.0 तक। उपयोगकर्ताओं को सलाह दी जाती है कि वे संस्करण 4.18.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.10.x LTS रिलीज़ के लिए, उपयोगकर्ताओं को 4.10.9 में अपग्रेड करने की सलाह दी जाती है, जबकि 4.14.x LTS रिलीज़ के लिए, उपयोगकर्ताओं को 4.14.5 में अपग्रेड करने की सलाह दी जाती है।
CVE-2026-25747 - Camel LevelDB डिसीरियलाइज़ेशन भेद्यता
तीन गंभीर Apache Camel कमजोरियों के लिए कार्यशील प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट और विस्तृत विश्लेषण प्रदान करता है, जिसमें CoAP हेडर इंजेक्शन और असुरक्षित डिसीरियलाइज़ेशन शामिल हैं, जो रिमोट कोड एक्ज़ीक्यूशन की ओर ले जाते हैं।
CVE-2026-27172 के लिए पुनरुत्पादन: Apache Camel camel-consul ConsulRegistry Java डीसिरियलाइज़ेशन (RCE)
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।