CVE-2026-22187-Bio-Formats-unsafe-Java-deserialization-via-.bfmemo

Bio-Formats ≤ 8.3.0 在图像处理过程中对攻击者控制的 .bfmemo 缓存文件执行不安全的 Java 反序列化；精心构造的 .bfmemo 可触发对不可信数据的反序列化（拒绝服务/逻辑篡改；若存在 gadget 链，则可能实现远程代码执行）。

安全复现（仅限本地） 此操作不会构建 gadget 链或执行代码。仅用于演示目的，展示 .bfmemo 会被反序列化。

在受控实验环境中，将 Bio-Formats 置于 classpath 中

javac -cp bioformats_package.jar DemoMemoizer.java java -cp .:bioformats_package.jar DemoMemoizer ./sample.tif

这适合用于教学，因为它演示了不安全的反序列化攻击面，且不涉及恶意用途。