گزارش‌های جدید نشان می‌دهد که تلاش‌های قبلی برای رفع آسیب‌پذیری CVE-2026-47065 (شناخته شده با کد ZDRES-232) در برخی از شاخه‌های توسعه Apache MINA با شکست مواجه شده است. این نقص امنیتی که منجر به Filter Bypass از طریق متد acceptMatchers می‌شود، همچنان در نسخه‌هایی که پیش‌تر «اصلاح شده» اعلام شده بودند، وجود دارد.
جزئیات فنی نقص امنیتی
مشکل اصلی مربوط به عدم بازنویسی (Override) متد resolveProxyClass است که از طریق java.lang.reflect.Proxy مورد سوءاستفاده قرار می‌گیرد. اگرچه این اصلاحیه در تاریخ ۲ ژوئن ۲۰۲۶ منتشر شد و در نسخه‌های 2.2.8، 2.1.13 و 2.0.29 به عنوان «کاملاً رفع شده» معرفی گردید، اما بررسی‌های فنی نشان می‌دهد که تغییرات لازم تنها در شاخه 2.2.X اعمال شده است.
تاثیر بر نسخه‌های مختلف
- شاخه‌های 2.0.X و 2.1.X: این نسخه‌ها هرگز متد
resolveProxyClass()را دریافت نکردند. بنابراین، آرتیفکت‌های 2.0.29 و 2.1.13 و تمامی نسخه‌های بعدی در این خطوط (از جمله نسخه‌های جاری 2.0.30 و 2.1.14) همچنان آسیب‌پذیر هستند. - شاخه‌ی 2.2.X: تنها نسخه‌هایی که در این شاخه قرار دارند، به طور کامل از این نقص امنیتی ایمن شده‌اند.
این وضعیت منجر به ایجاد یک آسیب‌پذیری جدید با شناسه CVE-2026-94301 شده است که به دلیل عدم اعمال اصلاحات در نسخه‌های Maintenance، ریسک امنیتی را برای سازمان‌هایی که از نسخه‌های قدیمی‌تر استفاده می‌کنند، افزایش داده است.
