XStream is vulnerable to a Remote Command Execution attack

XStream, uma biblioteca que converte objetos para XML, pode ser explorada por atacantes para executar comandos arbitrários em um servidor se os dados de entrada forem manipulados. Isso ocorre porque a biblioteca desserializa dados não confiáveis sem restrições adequadas.

Vulnerabilidade de execução remota de código no processo de desserialização do XStream (CWE-502, CWE-94) permitindo que atacantes não autenticados executem comandos arbitrários do sistema através de entrada XML maliciosamente construída. A exploração requer processamento de dados serializados não confiáveis; a mitigação exige implementar o framework de segurança com whitelist do XStream ou atualizar para versão 1.4.18+, que usa configuração segura por padrão em vez de lista negra.