CVE-2026-22016

ВысокийОпубликовано

Уязвимость в продуктах Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition из семейства Oracle Java SE (компонент: JAXP)....

Опубликовано: 21 апр. 2026 г.
Обновлено: 18 сент. 2026 г.
Назначение CNA: oracle
Наблюдены доказательства: 4 авг. 2026 г.

Первичный CVSS

7,5/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Оценка вероятности EPSS

0,7 %

Низкий · следующие 30 дней

Процентиль: 51,4 %
Дата модели: 21 сент. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Уязвимость в продуктах Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition из семейства Oracle Java SE (компонент: JAXP). Поддерживаемые версии, которые затронуты: Oracle Java SE: 8u481, 8u481-b50, 8u481-perf, 11.0.30, 17.0.18, 21.0.10, 25.0.2, 26; Oracle GraalVM for JDK: 17.0.18 и 21.0.10; Oracle GraalVM Enterprise Edition: 21.3.17. Легко эксплуатируемая уязвимость позволяет неаутентифицированному злоумышленнику с сетевым доступом через множественные протоколы скомпрометировать Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Успешные атаки на эту уязвимость могут привести к несанкционированному доступу к критическим данным или полному доступу ко всем данным Oracle Java SE, Oracle GraalVM for JDK, Oracle GraalVM Enterprise Edition. Примечание: Эта уязвимость может быть использована с помощью API в указанном компоненте, например, через веб-сервис, который передаёт данные в API. Эта уязвимость также применима к развёртываниям Java, как правило, в клиентах, запускающих sandboxed Java Web Start приложения или sandboxed Java апплеты, которые загружают и выполняют недоверенный код (например, код, поступающий из интернета) и полагаются на Java sandbox для обеспечения безопасности. Базовый показатель CVSS 3.1 — 7.5 (воздействие на конфиденциальность). Вектор CVSS: (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N).

Источники

CVE-2026-22016-IPFS-CID-Spoofing-via-Multihash-Length-ExtensionPoC
Доказательство концепции на Python, демонстрирующее спуфинг CID в IPFS через расширение длины multihash и иллюстрирующее изъяны проверки адресации по содержимому, которые могут отравить шлюзы IPFS.

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.