Base de CVEs

No JetBrains Kotlin anterior à versão 2.4.20, era possível executar código por meio de desserialização insegura nos metadados do cache de build.

O Feast anterior à versão 0.63.0 contém uma vulnerabilidade de desserialização insegura que permite que atacantes não autenticados ou não autorizados alcancem execução remota de código ao enviar uma requisição gRPC elaborada ao servidor de registro. O campo user_defined_function.body de uma especificação OnDemandFeatureView é decodificado de base64 e passado para dill.loads() antes de qualquer verificação de autorização, permitindo que atacantes incorporem um objeto Python serializado malicioso com um método __reduce__ arbitrário para executar comandos do sistema operacional como a conta de serviço do feast.

PhpSpreadsheet é uma biblioteca PHP pura para leitura e escrita de arquivos de planilha. Antes da versão 1.30.5, o CVE-2026-34084 foi corrigido pelo auxiliar File::prohibitWrappers. O auxiliar chama parse_url($filename, PHP_URL_SCHEME) e depois verifica is_string($scheme) && strlen($scheme) > 1 para rejeitar wrappers de stream como phar://, php://, data:// ou expect://. A verificação não é equivalente a 'o caminho contém um wrapper'. Quando a entrada tem o formato phar:///path/file.phar/inner, com três ou mais barras após o esquema, parse_url retorna o booleano false em vez de retornar a string do esquema. O ramo is_string($scheme) é então ignorado, o auxiliar retorna sem lançar exceção e o chamador prossegue. A camada de streams do PHP, porém, ainda trata phar:///... como um wrapper phar válido e abre o arquivo phar subjacente. Como resultado, IOFactory::load($attackerPath) ultrapassa a correção e ainda aciona o wrapper phar. No PHP 7.x, basta alcançar o wrapper phar via is_file para que o PHP desserialize automaticamente os metadados do phar, o que por sua vez invoca os métodos mágicos __wakeup e __destruct de um objeto controlado pelo atacante e resulta em execução remota de código completa. No PHP 8.x, a desserialização automática de metadados para operações comuns de arquivo foi removida, então a cadeia na camada do PhpSpreadsheet se reduz a uma primitiva de leitura de arquivo via wrapper phar, e a RCE só reaparece se o consumidor downstream chamar Phar::getMetadata. Esta vulnerabilidade está corrigida na versão 1.30.5.

SP LMS (com_splms) < 4.1.4 da JoomShaper desserializa dados de cookies controlados pelo usuário sem validação, permitindo que um atacante remoto não autenticado execute código arbitrário no servidor.

Um atacante remoto e não autenticado pode explorar uma vulnerabilidade de desserialização de dados não confiáveis no ibaPDA ou no ibaDatCoordinator para obter acesso total aos sistemas afetados.