CVE-2026-70410
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Wykorzystanie zewnętrznie kontrolowanego wejścia do wybierania klas lub kodu („luka w zabezpieczeniach „Niebezpieczne odbicie”) w Apache Calcite Avatica. Tworzenie instancji wtyczki (za pośrednictwem AvaticaUtils#instantiatePlugin i innych metod) inicjuje dowolne klasy poprzez nieograniczone wywołania klasy Class.forName(String), która domyślnie wyzwala inicjalizację. Może to prowadzić do wykonania statycznych bloków inicjatorów w dowolnych klasach obecnych w ścieżce klas. Interfejsy API instancji powinny inicjować i tworzyć instancje tylko klas implementujących określony interfejs wtyczki przekazywany jako dane wejściowe w połączeniu z żądaną nazwą klasy. W chwili pisania tego tekstu nie ma dobrze znanych ani powszechnie używanych klas z niebezpiecznymi statycznymi blokami inicjującymi, więc istotność jest niska.
Ten problem dotyczy Apache Calcite Avatica: przed wersją 1.29.0.
Użytkownikom zaleca się aktualizację do wersji 1.29.0, która rozwiązuje problem.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org