CVE-2026-42778

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-42778
The fix for CVE-2026-41409 was not applied to the 2.1.X and 2.2.X branches. Here was the original issue description: The fix for CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() was incomplete. The classname allowlist of classes allowed to be deserialized was applied too late after a static initializer in a class to be read might already have been executed. Affected versions are Apache MINA 2.1.0 <= 2.1.11, and 2.2.0 <= 2.2.6. The problem is resolved in Apache MINA 2.1.12, and 2.2.7 by applying the classname allowlist earlier. Affected are applications using Apache MINA that call IoBuffer.getObject(). Applications using Apache MINA are advised to upgrade The fix for CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() was incomplete. The classname allowlist of classes allowed to be deserialized was applied too late after a static initializer in a class to be read might already have been executed. Affected versions are Apache MINA 2.1.0 <= 2.1.110, and 2.2.0 <= 2.2.6. The problem is resolved in Apache MINA 2.1.12, and 2.2.7 by applying the classname allowlist earlier. Affected are applications using Apache MINA that call IoBuffer.getObject(). Applications using Apache MINA are advised to upgrade

9.8 /10

CVSS v3 : CRITICAL

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 5.9

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact HIGH

Scope UNCHANGED

References
Link Resource
https://lists.apache.org/thread/fhlx5k91hrkgyzh7yk1nghrn3k27gxy0 Mailing List Patch Vendor Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:apache:mina:*:*:*:*:*:*:*:*
cpe:2.3:a:apache:mina:*:*:*:*:*:*:*:*
History

26 Oct 2026, 21:10

Type Values Removed Values Added
Summary
  • (es) La solución para CVE-2026-41409 no se aplicó a las ramas 2.1.X y 2.2.X. Aquí estaba la descripción original del problema: La solución para CVE-2024-52046 en Apache MINA AbstractIoBuffer.getObject() fue incompleta. La lista de permitidos de nombres de clase de clases permitidas para ser deserializadas se aplicó demasiado tarde después de que un inicializador estático en una clase a ser leída ya podría haberse ejecutado. Las versiones afectadas son Apache MINA 2.1.0 menor o igual que 2.1.11, y 2.2.0 menor o igual que 2.2.6. El problema se resuelve en Apache MINA 2.1.12, y 2.2.7 al aplicar la lista de permitidos de nombres de clase antes. Se ven afectadas las aplicaciones que usan Apache MINA que llaman a IoBuffer.getObject(). Se aconseja a las aplicaciones que usan Apache MINA que actualicen La solución para CVE-2024-52046 en Apache MINA AbstractIoBuffer.getObject() fue incompleta. La lista de permitidos de nombres de clase de clases permitidas para ser deserializadas se aplicó demasiado tarde después de que un inicializador estático en una clase a ser leída ya podría haberse ejecutado. Las versiones afectadas son Apache MINA 2.1.0 menor o igual que 2.1.110, y 2.2.0 menor o igual que 2.2.6. El problema se resuelve en Apache MINA 2.1.12, y 2.2.7 al aplicar la lista de permitidos de nombres de clase antes. Se ven afectadas las aplicaciones que usan Apache MINA que llaman a IoBuffer.getObject(). Se aconseja a las aplicaciones que usan Apache MINA que actualicen
Information

Published : 2026-05-01 11:16

Updated : 2026-10-26 21:10

NVD link : CVE-2026-42778

Mitre link : CVE-2026-42778

CVE.ORG link : CVE-2026-42778

JSON object : View

Products Affected

apache

  • mina
CWE
CWE-502

Deserialization of Untrusted Data