در ماژول codec کتابخانه Apache MINA 3.0، یک آسیب‌پذیری امنیتی با شناسه CVE-2026-118636 شناسایی شده است. این مشکل در بخش JavaNativeMessageDecoder رخ می‌دهد، جایی که متد ObjectInputStream.readObject() روی بایت‌های فریم بدون هیچ‌گونه فیلتر کلاسی (Class Filter) فراخوانی می‌شود.
تحلیل فنی و ریسک
این نقص امنیتی باعث می‌شود برنامه‌هایی که از این نسخه در مواجهه با کاربران یا سیستم‌های غیرقابل اعتماد (Untrusted Peer) استفاده می‌کنند، در برابر حملات gadget-chain RCE آسیب‌پذیر باشند. در واقع، مهاجم می‌تواند از طریق ارسال داده‌های دست‌کاری شده، منجر به اجرای کد از راه دور (Remote Code Execution) در سیستم هدف شود.
وضعیت اصلاحیه و توصیه‌ها
با توجه به اینکه شاخه توسعه 3.0.0 در حال حاضر غیرفعال (Inactive) است، توسعه‌دهندگان برنامه‌ای برای انتشار نسخه اصلاح‌شده برای این ورژن ندارند. به کاربران توصیه می‌شود برای رفع این ریسک، سریعاً به آخرین نسخه از شاخه Apache MINA 2.2.X مهاجرت کنند.
