Vulnerabilidad en Apache Fory de Apache Software Foundation (CVE-2026-71558)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

07/08/2026

Última modificación:

24/10/2026

Descripción

Vulnerabilidad de confusión de tipos en el heap en la deserialización de Apache Fory C++.<br /> <br /> Este problema afecta a las versiones de Apache Fory C++ desde la 0.14.0 anteriores a la 1.5.0. Una carga útil de entrada manipulada puede eludir las comprobaciones de compatibilidad de tipos durante la deserialización polimórfica de punteros inteligentes, haciendo que un objeto de un tipo incompatible sea tratado como el tipo base declarado. Esto puede resultar en un comportamiento indefinido y potencialmente conducir a una denegación de servicio o ejecución de código arbitrario.<br /> <br /> Se recomienda a los usuarios actualizar a Apache Fory 1.5.0, que corrige este problema. Las aplicaciones que no utilizan la deserialización polimórfica de punteros inteligentes de Apache Fory C++ no se ven afectadas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto