CVE-2026-94114: recursão ilimitada no Apache Commons BCEL ao analisar classes

Publicado no feed oss-sec em 7 de outubro de 2026, com autoria de Gary D. Gregory datada de 6 de outubro. O aviso trata de atributos Code e Record aninhados que podem provocar recursão ilimitada durante a análise no ClassParser. Versões afetadas: Apache Commons BCEL anteriores à 6.13.0 e builds anteriores ao commit 14890bf2b9014df25f9b4de86f29b5e917e5656b. Severidade classificada como importante: CVSS 3.1 de 5.9 (média), vetor AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N; CVSS 4.0 de 8.2 (alta), vetor AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N. A descrição aponta um nome simbólico não mapeado para o objeto correto, com o BCEL armazenando em cache classes controladas por invasor. O texto recebido está truncado, então o restante da descrição deve ser lido na fonte original. Relevância: bibliotecas de análise de bytecode costumam ficar embutidas em ferramentas internas e em dependências transitivas. Para verificar, consulte o identificador CVE nas bases oficiais e na listagem oss-sec, confirme a versão do BCEL presente no seu projeto e compare com a 6.13.0 ou posterior. Este texto é tradução automática do feed, não o aviso oficial.