XStream是一个常用的Java对象和XML相互转换的工具。8月23日 XStream官方发布安全更新，修复了多个XStream云安 Java序列化库中发现的执行任意代码等重要漏洞。以下是漏洞详情：

漏洞详情

来源: https://x-stream.github.io/sec全日urity.html?spm=a2c4g.11174386.n2.4.46ea4c07mtuihO#workaround

1.CVE-报22021-39139 严重程度: 重要

XStream 容易受到任意代码执行攻击。解组时处理的流包含类型信息以重新创建以前编写的对象。XSt10ream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象，从而执行从远程服务器加载的任意代码。

2.C82VE-2021-39140 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例3：。攻击者可以操纵处理过的输入流并替换或注入对象，这会导致无限循环，可能导致拒绝服务。

3.CVE-2021-39141 严重程度: 重XS要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换tr或注入对象，从而执行从远程服务器加载的任意代码。

4.CVE-2021-39144 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写ea的对象。XStream 因此基于这些类型信息创建新实例。攻击者可以操纵处理过的输入流并替换或注入对象，从而在服务器上执行本地命令。

5.CVEm -2021-39150 严重程度: 重要

解组时处理的流包含类型信息以重新创建以前编写的对象。XStream 因此基于这些类型信息创建新实Ja例。攻击者可以操纵处理后的输入流并替换或注入对象，从而导致服务器端伪造请求。

受影响的产品和版本

XStream 1.4.17及更早版本

解va决方案

XStream官方已发布安全更新,升级XStream 1.4.18版本可修复

查看更多漏洞信息 以及升级请访问官网：

https://x-s序列tream.github.io/security.html?spm=a2c4g.11174386.n2.4.54c11051CEr化库2c6#workaround

(责任编辑：汇市动态)

• ·随着AIoT的出现，人类的生活将发生怎样的变化
• ·标签: 尊界V800 iOS27 月之暗面 华为
• ·标签: 中文在线 17K小说网 短剧 IP衍生品
• ·字节跳动与清华大学携手开源前沿多模态框架HuMo
• ·火山引擎称霸市场！2025年中国公有云大模型服务分析
• ·标签: 东鹏饮料
• ·标签: AIVA 阿维塔 赛豆科技 蓝电
• ·标签: 微信小游戏 IAA 腾讯 翁裕淦