Apache Fory PyFory Deserialization of Untrusted Data
Fory PyFory's ReduceSerializer could bypass documented DeserializationPolicy validation hooks during reduce-state restoration and global-name resolution. An application is vulnerable if it deserializes attacker-controlled data using PyFory Python-native mode with strict mode disabled and relies on DeserializationPolicy to restrict unsafe classes, functions, or module attributes.
This issue affects Apache Fory: from before 1.0.0.
Mitigation: Users of Apache Fory are recommended to upgrade to version 1.0.0 or later, which enforces DeserializationPolicy validation for the affected ReduceSerializer paths and thus fixes this issue.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Python (PyPI) | pyfory | >= 0.13.0, < 1.0.0 | 1.0.0 |
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-48207
- https://fory.apache.org/security/#cve-2026-48207-pyfory-reduceserializer-deserializationpolicy-bypass
- https://github.com/apache/fory
- http://www.openwall.com/lists/oss-security/2026/05/21/10
- https://pypi.org/project/pyfory
- https://github.com/advisories/GHSA-m5gw-83w2-7749
- Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H- Debilidad (CWE)
CWE-502- Plataforma
- Python (PyPI)
- Paquete
pyfory- Publicada
- 21.05.2026
- Actualizado
- 11.10.2026 14:17
Fuentes y licencias
OSV / GitHub Advisory Database - PYSEC-2026-2984 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-m5gw-83w2-7749 - CC BY 4.0
Historial de vulnerabilidades: pyfory
Todas las vulnerabilidades publicadas de este paquete (Python (PyPI)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 10.2025 05.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Crítica 2
Divulgaciones por año
- 2025: 1
- 2026: 1
-
Apache Fory PyFory Deserialization of Untrusted Data esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.