یک آسیب‌پذیری امنیتی با شناسه CVE-2026-84725 در محیط JBoss EAP شناسایی شده است که می‌تواند منجر به اجرای کد از راه دور (RCE) شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی زمانی رخ می‌دهد که EAP با فلگ -secmgr اجرا شود. در این حالت، مؤلفه JDKBridge در openjdk-orb در هنگام فرآیند Unmarshalling اشیاء روی پورت 3528، آدرس‌های CDR codebase URL ارسالی توسط مهاجم را می‌پذیرد.
این موضوع به یک مهاجم بدون احراز هویت (Unauthenticated) اجازه می‌دهد تا کلاس‌های دلخواه را از یک URL خارجی بارگذاری کرده و در JVM سرور نمونه‌سازی (Instantiate) کند. نکته بحرانی این است که این فرآیند پیش از اجرای EJB security interceptors رخ می‌دهد، که در عمل باعث دور زدن مکانیزم‌های امنیتی و دسترسی مستقیم به محیط اجرای برنامه می‌شود.
