漏洞预警 | Apache PyFory反序列化策略绕过漏洞

浅安
浅安

浅安安全

2026年6月11日 08:00
广东

在小说阅读器读本章

去阅读

0x00 漏洞编号

• CVE-2026-48207

0x01 危险等级

• 高危

0x02 漏洞概述

Apache Fory是一款高性能的跨语言序列化框架，支持Java、Python、Go、JavaScript等多种编程语言。

0x03 漏洞详情

CVE-2026-48207

漏洞类型：反序列化策略绕过

影响：远程代码执行

简述：Apache PyFory存在反序列化策略绕过漏洞，由于其ReduceSerializer组件在Python-native模式下处理反序列化数据时，未能正确调用DeserializationPolicy的验证钩子。在reduce状态恢复和全局名称解析过程中，ReduceSerializer绕过了用户自定义的DeserializationPolicy中对不安全类、函数或模块属性的限制检查。攻击者可利用该漏洞，通过构造特制的恶意序列化数据流绕过安全策略限制，加载被禁止的危险类、函数或模块属性，从而实现远程代码执行、数据窃取或系统接管。

0x04 影响版本

• 0.13.0 <= Apache PyFory < 1.0.0

0x05 POC状态

• 未公开

0x06修复建议

*目前官方已发布漏洞修复版本，建议用户升级到安全版本***：****

https://fory.apache.org/