Vulnerabilidad en Apache Fory de Apache Software Foundation (CVE-2026-71560)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

07/08/2026

Última modificación:

24/10/2026

Descripción

Vulnerabilidad de lectura fuera de límites en la deserialización de Apache Fory C++.<br /> <br /> Este problema afecta a las versiones de Apache Fory C++ desde la 0.14.0 anteriores a la 1.5.0 al deserializar estructuras que contienen campos de enteros etiquetados. Una carga útil de entrada manipulada puede desencadenar una lectura de pila fuera de límites en el deserializador de ruta rápida de enteros etiquetados, potencialmente causando revelación de información o denegación de servicio.<br /> <br /> Se recomienda a los usuarios actualizar a Apache Fory 1.5.0, que corrige este problema. Las aplicaciones que no utilizan Apache Fory C++ o no utilizan campos de enteros etiquetados no se ven afectadas.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.10 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto