Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 符號名稱未對應至正確的類別。BCEL 會將攻擊者控制的類別快取在其自我宣告的名稱下，而不驗證所要求的名稱，因此後續的查詢和名稱金鑰驗證結果可以參照不同的類別。此問題影響 Apache Commons BCEL： before 6.13.0。
    建議使用者升級至 6.13.0 版，即可修正此問題。(CVE-2026-94114)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 符号名称未映射到正确的类。BCEL 将攻击者控制的类缓存在其自我声明的名称下，但未验证请求的名称，从而允许后续查找和名称键控验证结果引用其他类。此问题影响 Apache Commons BCEL： 之前 6.13.0版本 .
    建议用户升级到修复了此问题的版本 6.13.0。(CVE-2026-94114)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートの openSUSE 16 ホストに、複数の脆弱性の影響を受けているパッケージがインストールされています。これらの脆弱性は openSUSE-SU-2026:22109-1 アドバイザリで言及されています。

    - CVE-2026-94114:ネスト化されたコード/レコード属性により、ClassParser(bsc#1284400)で際限のない解析時間の再帰が駆動されます。
    - CVE-2026-105111:Class2HTML がエスケープされていないクラス文字列を放出し、保存された XSS(bsc#1284399)を有効にします。

    bcel に対する変更:

    - バージョン 6.13.0 への更新
     * 新機能 + 許可されたサブクラスのサポートを追加 + RecordComponentInfo.getAttribute(バイトタグ)を追加 + Const.MAJOR_27を追加 + Const.MINOR_27を追加 + ArrayType.isElementType(Type) を追加および使用 + Const.MAJOR_28を追加 + Const.MINOR_28を追加
     * バグ修正済み + Java 26 以降のコンスタントプールモジュールアクセステストを修正 + org.apache.bcel.classfile.Utility.Utility() を廃止 + org.apache.bcel.verifier.exc.Utility .getStackTrace(Throwable) を廃止 + 全ての Javadoc 警告を修正し、デフォルトでチェックを強制 + 生成された HTML の定数プール名をエスケープ + BCELFactory Java 出力の参照名をエスケープ + Utility.codeToString でワイドフラグのスレッドローカルにする + 符号なしバイトとして multianewarray 寸法を読み取る + サイト docs: セキュリティモデルを明確化 + ConstantDynamic インデックスを符号なし shorts として読み取る + CPInstruction、IINC および RET setIndex のインデックス上限を検証 + NestHost および ModuleMainClass の正しい属性タグを使用 + パラメーター注釈の解析時に runtime-visible フラグを伝達 + 解析済み LOOKUPSWITCH の長さに fixedLength を使用 + 区切り文字のある名前の ConstantPoolGen 重複排除鍵衝突を修正 + CodeHTML 逆アセンブラの符号なしバイトコードオペランドを読み込み + のディープコピーブートストラップ引数配列BootstrapMethod.copy() + LocalVariableTable .getLocalVariable の排他的なライブ範囲終端を使用 + SWITCH のソート済み配列から TABLESWITCH を構築します + プリミティブな配列アクセスに基本タイプではなく配列要素タイプを使用します + INVOKEDYNAMIC コンストラクターで長さを設定 + 構造検証で文字でない配列で CALOAD を拒否します + 残りの配列ロード/ストアコンポーネントタイプチェックに対してネガティブな検証機能テストを追加します + INVOKEINTERFACE と MULTIANEWARRAY の u1 カウントバインドを検証します + ワイドローカル変数を一致させますダンプされたバイトに対する命令長 + 符号付き短いものに IINC インクリメントをバインド + ConstantUtf8 の SpotBugs USO_UNSAFE_METHOD_SYNCHRONIZATIONを修正 + ネスト化されたコード/レコード属性により、ClassParser で無制限の解析時間再帰が駆動されます + ネスト化された注釈要素の値は無制限に再帰します。
     MAX_ARRAY_DIMENSIONS cap バイパス + Opcodes tableswitch と lookupswitch が境界検査を追加 + JustIce Pass 2 が参照される例外クラスの循環スーパークラスチェーンでハングアップ + JustIce Pass 2 LVT チェックが各 10 バイトエントリを ~131k ハッシュテーブル操作に増幅 + Pass 3b データフローが命令ごとにフレームを保存し、増え続ける実行チェーンを複製 + キュービックハンドラー * 範囲 * サブルーチンスキャンがサブルーチンコンストラクターハング JustIce Pass 3b + Subroutines.noRecursiveCalls 列挙指数関数的に多くの JSR 呼び出しパス + 逆アセンブラと Class2HTML は、チェックされていないスイッチテーブルの割り当てを再実装します + ConstantPool.constantToString は自己参照CONSTANT_MethodHandleで永久に再帰します + Utility.typeSignatureToString は、汎ネリックネストレベルごとに再帰します、無制限で、二次サブ文字列コピーを使用します + リポジトリは、入力定義のthis_class名でクラスをキャッシュします。グローバル静的 Repository/VerifierFactory がポイズニングを ClassLoader 全体にします(bsc#1284400、 CVE-2026-94114) + ダンプパス間でのサイレントな u2/u1 カウント切り捨てにより、発行されるバイトコードが破損します + Class2HTML エミッターが攻撃者のクラスファイルの文字列をエスケープされていない HTML に書き込みます(レポートに保存された XSS)(bsc#1284399、 CVE-2026-105111) + Class2HTML が検証されていないクラス名から出力ファイルパスを構築します + ClassPath.getBytes() は、偽造された ZIP 非圧縮サイズフィールドからバッファのサイズを調整します + PMG 属性は宣言された長さを無視します、 BCEL-vs-JVM 解析の発散を有効にします + Signature.matchGJIdent はネスト化した汎用署名(Signature.translate)で際限なく再帰します + Utility.decode は、3x バッファがエンコード/デコードのラウンドトリップを中断し、未チェックの AIOOBE をスローすることを修正しました + BCELifier は、エスケープされていない生成された Java ソースに攻撃者のクラス/パッケージ名を補間します + 検証機能は 3a をパスします。遅延チェックは、属性とコードサイズが 2 次です + 検証機能のキャッシュは、攻撃者が選択したクラス名で際限なく増加します + 静的 WIDE ThreadLocal例外を乗り越え、同じスレッドで次のクラスの逆アセンブリを破損します + Utility.JavaReader エスケープデコーディング:OOB テーブルインデックス、bad-hex クラッシュ、サイレント非標準エイリアシング
     * 変更 + org.apache.commons:commons-parent を 95 から 104 へ更新 + org.jetbrains.kotlin:kotlin-stdlib を 2.3.0 から 2.4.20 へ更新 + commons-io:commons-io を 2.21.0 から 2.22.0 へ更新 + jna.version を 5.18.1 から 5.19.1 へ更新 + [テスト] org.apache.commons:commons-collections4 を 4.5.0 から 4.6.0
    - バージョン 6.12.0 の変更 + Const.MAJOR_26 を追加 + Const.MINOR_26を追加 + 例での無限ループを修正。TransitiveHull + Apache RAT プラグインコンソール警告を修正 + 無効な形式の Javadoc コメントを修正 + ビルドを Azul JDK で再現可能にします + 無効な入力の JavaClass.findField() の無限ループを修正します + 無効な入力の JavaClass.getAllInterfaces() の無限ループを修正します + 無効な JavaClass.getSuperClasses() の無限ループを修正します + Args.requireU4() の例外メッセージが間違ったデータタイプを参照しています + Args.requireU2() の例外メッセージが間違った上限値を参照しています + Code.Code(int, int, DataInput, ConstantPool) は、コード配列が JVM 仕様で許容されているサイズより大きい場合に、ClassFormatException をスローするようになりました + Code.Code(int, int, int, int, byte[], CodeException[], Attribute[], ConstantPool) は、コード配列が JVM 仕様で許容されているサイズより大きい場合に、ClassFormatException をスローするようになりました。 + コード配列が JVM 仕様で許容されているサイズより大きい場合、Code.setCode(byte[]) は ClassFormatException をスローするようになりました + ClassDumper.dump() は開いていない入力ストリームを呼び出すべきではありません。 DumpClass.main を呼び出す際の IOException を修正します(ClassDumper.java:351) + org.apache.bcel.classfile.ConstantPool.ConstantPool(Constant[]) は現在 varagrs を使用します: ConstantPool(Constant...) + org.apache.bcel.classfile.Deprecated では、attribute_lengthアイテムがゼロであることが必須になりました + org.apache.bcel.classfile.Synthetic では、現在は + JVM 仕様に不明な属性のサイズは 1 MB に制限され、システムプロパティ BCEL でオーバーライドされます。Attribute.Unknown.max_attribute_length + org.apache.commons:commons-parent を 89 から 95 へ更新 + [テスト] org.jetbrains.kotlin:kotlin-stdlib を 2.2.20 から 2.3.0 へ更新 + commons-io:commons-io を 2.20.0 から 2.21.0 へ更新 + commons-lang3 を 3.19.0 から 3.20.0 へ更新 + [テスト] org.apache.commons:commons-exec を 1.5.0 から  へ更新 1.6.0
    - バージョン 6.11.0 の変更 + Const.MAJOR_25 を追加 + Const.MINOR_25を追加 + 実験的な CycloneDX VEX ファイルを追加 + 新しい Maven POM 変数 ecj.version を使用するようにリファクタリング + Locale.ENGLISH の内部使用を Locale.ROOT に置換 + BCEL-375:バイナリ .tar.gz ディストリビューションファイルの bcel .jar ファイルに対する誤った権限 + BCEL-376:system-classpath で作成された場合、ClassPath.close() が UnsupportedOperationException をスロー + ClassPath.getResources(String) がベクトルの代わりに ArrayList を使用可能 + スポットバグを修正 [ERROR]重要度中:ConstantUtf8 クラスで作成された共有変数に対する操作はアトミックではありません [org.apache .bcel.classfile.ConstantUtf8] at ConstantUtf8.java:[line 119] AT_NONATOMIC_OPERATIONS_ON_SHARED_VARIABLE + スポットバグを修正します [ERROR] 重要度中:ConstantUtf8 クラスで考慮される共有変数での操作はアトミックではありません [org .apache.bcel.classfile.ConstantUtf8] at ConstantUtf8.java:
     [137行目]AT_NONATOMIC_OPERATIONS_ON_SHARED_VARIABLE + スポットバグを修正 [ERROR] 重要度中:スキップされた共有 .bcel.classfile.ConstantUtf8 での操作] at ConstantUtf8.java:[line 134] + org.apache.bcel.util.ClassPath .addJdkModules(String, List<String>) は、java.modules.path ではなくシステムプロパティ jdk.module.path を読み込むようになりました + Java 25 での ConstantPoolModuleAccessTest の失敗を修正 + 377: Java 24 以降でのテストを修正 + org.apache.commons:commons-parent を 72 から 89 へ更新 + org.apache.commons:commons-lang3 を 3.14.0 から 3.19.0 へ更新 + org.jetbrains.kotlin:kotlin-stdlib を 2.0.0 から 2.2.20 へ更新 + commons-io:commons-io を 2.16.1 から 2.20.0 へ更新 + jna.version を 5.14.0 から 5.18.1 へ更新 + org.codehaus.mojo:taglist-maven-plugin を 3.1.0 から 3.2.1 へ更新 + org.apache.commons:commons-collections4 を 4.5.0-M2 から 4.5.0 へ更新 + org.apache.commons:commons-exec を 1.4.0 から 1.5.0 へ更新最低 Java 8 + PMD UnnecessaryFullyQualifiedName を修正 + コメント付きブロックを許可することで PMD EmptyCatchBlock を修正 + コメント付きブロック JasminVisitor を許可することで PMD EmptyControlStatement を修正 + SpotBugs チェックは、JavaCC が生成するコードを無視するべきです + ClassDumper の SpotBugs URF_UNREAD_FIELD を修正 + JasminVisitor ASTFunAppl Mini.Environment の SpotBugs DM_DEFAULT_ENCODING を修正 + Mini.MiniC の SpotBugs DM_DEFAULT_ENCODING を修正 + Package.go(String[]) の SpotBugs WMI_WRONG_MAP_ITERATOR を修正TransitiveHull.getIgnored() + モデルおよびユニットテスト、Javadoc にアクセサーを追加 + Const.MAJOR_22を追加 + Const.MINOR_22を追加 + Const.MAJOR_23を追加 + Const.MINOR_23を追加 + Const.MAJOR_24を追加 + 4.5.0-M2 にConst.MINOR_24 2.0.0 を追加 + org.apache.commons:commons-parent を 69 から 71 へ更新 3.1.0
     * 6.9.0 メンテナンスとバグ修正リリースからの変更が含まれます + Java 16 レコードのサポートを追加します + InstructionFactory.createInvoke() に null ガードを追加します + org.apache.bcel.classfile.DescendingVisitor.accept(E[]) AnnotationEntryGen[]、ConstantPoolGen、ブーリアン値、ElementValue[]、ConstantPoolGen) org.apache.bcel.generic.ClassGen.setMethods(Method[]) + org.apache.bcel.generic で発生する可能性のある NullPointerException を回避します。ClassGen.unpackAnnotations(Attribute[]) + org.apache.bcel.classfile で発生する可能性のある NullPointerException を回避します。ParameterAnnotationEntry .createParameterAnnotationEntries(Attribute[]) org.apache.bcel.generic.ClassGen.ClassGen(JavaClass)。FieldGenOrMethodGen.addAll(Attribute[]) + org.apache.bcel.classfile の呼び出し後に NullPointerException を回避します。MethodParameters.setParameters(MethodParameter[])を null の .classfile で処理します。ParameterAnnotations .setParameterAnnotationTable(ParameterAnnotationEntry[]) .classfile です。LocalVariableTypeTable .setLocalVariableTable(LocalVariable[]) を null .classfile で指定します。LocalVariableTable .classfile です。LineNumberTable.setLineNumberTable(LineNumber[]) .classfile です。JavaClass.setMethods(Method[] と null の .classfile。JavaClass.setInterfaces(int[]) を null .classfile で有効にします。JavaClass.setInterfaceNames(String[]) を null .classfile で指定します。JavaClass.setFields(Field[]) を null .classfile で有効にします。JavaClass.setAttributes(Attribute[]) を null .classfile に置き換えます。null .classfile での ConstantPool.setConstantPool(Constant[])。FieldOrMethod.setAttributes(Attribute[]) を null .classfile で指定します。Annotations.setAnnotationTable(AnnotationEntry[]) .classfile です。ArrayElementValue.ArrayElementValue(int, ElementValue[], ConstantPool) を null の .classfile に置き換えます。BootstrapMethod.BootstrapMethod(int, int[]) を null の .classfile で指定します。.classfile での BootstrapMethod.setBootstrapArguments(int[])。null の .classfile での BootstrapMethods.BootstrapMethods(int, int, BootstrapMethod[], ConstantPool)。BootstrapMethods .setBootstrapMethods(BootstrapMethod[]) を null で設定 + org.apache.bcel.generic を呼び出す NullPointerException を回避します。null の InstructionList.redirectLocalVariables(LocalVariableGen[], InstructionHandle, InstructionHandle)InstructionList.redirectExceptionHandlers(CodeExceptionGen[], .InstructionList.findHandle(InstructionHandle[], int[], int, int) を null に置き換えます。MethodGen.setArgumentTypes(Type[])をnullに置き換えます。MethodGen.setArgumentNames(String[]) を null に指定します。MethodGen.removeRuntimeAttributes(Attribute[]) を null に指定します。MethodGen.makeMutableVersion(AnnotationEntry[]) を null で更新 + org.apache.commons:commons-parent を 66 から 69 へ更新 + org.jetbrains.kotlin:kotlin-stdlib を 1.9.22 から 1.9.23 へ更新 + commons-io:commons-io を 2.15.1 から へ更新 2.16.1
     * 6.8.0 (2023 年 12 月 8 日)メンテナンスおよびバグ修正リリース ClassFormatException 入力 Java4Example ~ 一部のオペコード署名に検証機能テストを追加 ~ Const.MAJOR_20 を追加 ~ Const.MINOR_20 を追加 ~ Const.MAJOR_21を追加 ~ Const.MINOR_21を追加 ~ [Bcelifier] JDK 検証機能 SE_BAD_FIELD BCELFactory.java をパスするためのスタックマップのサポート :[lines 192-196] SF_SWITCH_FALLTHROUGH NullPointerException は NullPointerException ではありません ~ InstructionFactory のテストとカバレッジ ~ 検証器:it'()' の中の SWAP 命令 () のテストとカバレッジ ~AnnotationEntry の null ポインターを修正します。package-private をサポートします) 空のスタックで ATHROW をテストします Select#toString(boolean) ~ Java 21 で EmptyVisitorTestCase を修正します ~ commons-parent を 54 から 65 へ更新します ~ jna.version を 5.12.1 から 5.13.0 へ更新します ~ kotlin-stdlib を 1.8.10 から 1.9.21 へ更新します ~ commons-io を 2.11.0 から 2.15.1 へ更新します ~ commons-lang3 を 3.12.0 から 3.14.0 3.1.1
     * 6.7.0 (2022 年 11 月 28 日) メンテナンスおよびバグ修正リリース
     * 6.6.1 (2022 年 10 月 29 日) メンテナンスおよびバグ修正リリース
     * 6.6.0 (2022 年 10 月 8 日) マイナー機能およびバグ修正リリース
     * 6.5.0 (2020 年 6 月 5 日)マイナー機能およびバグ修正リリース
     * 6.4.1 (2019-09-26)バグ修正リリース
     * 6.4.0 (2019-09-20)機能およびバグ修正リリースでは、クラスorg.apache.bcel.generic.InstructionConstsクラスjava.lang.Stringを実行するためにJava 7以降が必要です。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - シンボリック名が正しいクラスにマッピングされません。BCEL は、リクエストされた名前を検証せずに、攻撃者がコントロールするクラスを自己宣言名の下にキャッシュします。これにより、その後のルックアップや名前キー検証の結果が別のクラスを参照できるようになります。この問題は、 6.13.0 より前の Commons BCEL: Apache に影響を与えます。
    ユーザーには、この問題を修正したバージョンであるバージョン 6.13.0 へのアップグレードをお勧めします。(CVE-2026-94114)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2026-3422 advisory.

    Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in     Apache Commons BCEL.



    This only happens when you're using Class2HTML to generate webpages for possibly-attacker-controlled class     files, where Class2HTML emitters write attacker class-file strings into HTML unescaped (stored XSS in     reports).



    This issue affects Apache Commons BCEL: before 6.13.0.



    Users are recommended to upgrade to version 6.13.0, which fixes the issue. (CVE-2026-105111)

    Symbolic name not mapping to correct object vulnerability in Apache Commons.



    BCEL caches attacker-controlled classes under their self-declared names without validating the requested     name, allowing subsequent lookups and name-keyed verification results to refer to a different class.



    This issue affects Apache Commons: before 6.13.0.



    Users are recommended to upgrade to version 6.13.0, which fixes the issue. (CVE-2026-94114)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote openSUSE 16 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2026:22109-1 advisory.

    - CVE-2026-94114: Nested Code/Record attributes drive unbounded parse-time recursion in ClassParser     (bsc#1284400).
    - CVE-2026-105111: Class2HTML emits unescaped class strings, enabling stored XSS (bsc#1284399).

    Changes for bcel:

    - Update to version 6.13.0
     * New Features      + Add support for permitted subclasses      + Add RecordComponentInfo.getAttribute(byte tag)      + Add Const.MAJOR_27      + Add Const.MINOR_27      + Add and use ArrayType.isElementType(Type)      + Add Const.MAJOR_28      + Add Const.MINOR_28
     * Fixed Bugs      + Fix constant pool module access test on Java 26 and above      + Deprecate org.apache.bcel.classfile.Utility.Utility()      + Deprecate org.apache.bcel.verifier.exc.Utility      .getStackTrace(Throwable)      + Fix all Javadoc warnings and enforce checks by default      + Escape constant pool names in generated HTML      + Escape referenced names in BCELFactory Java output      + Make wide flag thread-local in Utility.codeToString      + Read multianewarray dimensions as unsigned byte      + Site docs: clarify security model      + Read ConstantDynamic indices as unsigned shorts      + Validate index upper bound in CPInstruction, IINC and RET      setIndex      + Use correct attribute tag in NestHost and ModuleMainClass      + Propagate runtime-visible flag when parsing parameter      annotations      + Use fixedLength for parsed LOOKUPSWITCH length      + Fix ConstantPoolGen dedup key collisions for names with      delimiters      + Read unsigned bytecode operands in CodeHTML disassembler      + Deep-copy bootstrap arguments array in BootstrapMethod.copy()      + Use exclusive live-range end in LocalVariableTable      .getLocalVariable      + Build TABLESWITCH from sorted arrays in SWITCH      + Use array element type not basic type for primitive array      access      + Set length in INVOKEDYNAMIC constructor      + Reject CALOAD on non-char arrays in structural verification      + Add negative verifier tests for remaining array load/store      component type checks      + Validate u1 count bound in INVOKEINTERFACE and MULTIANEWARRAY      + Match wide local variable instruction length to dumped bytes      + Bound IINC increment to signed short      + Fix SpotBugs USO_UNSAFE_METHOD_SYNCHRONIZATION in ConstantUtf8      + Nested Code/Record attributes drive unbounded parse-time      recursion in ClassParser      + Nested annotation element values recurse unboundedly;
     MAX_ARRAY_DIMENSIONS cap bypassed      + Opcodes tableswitch and lookupswitch add boundary checks      + JustIce Pass 2 hangs on cyclic superclass chain of a      referenced exception class      + JustIce Pass 2 LVT check amplifies each 10-byte entry into      ~131k hashtable operations      + Pass 3b dataflow stores frames per instruction and clones      ever-growing execution chains      + Cubic handlers * range * subroutines scan in Subroutines      constructor hangs JustIce Pass 3b      + Subroutines.noRecursiveCalls enumerates exponentially many JSR      call paths      + Disassembler and Class2HTML re-implement the unchecked      switch-table allocation      + ConstantPool.constantToString recurses forever on      self-referencing CONSTANT_MethodHandle      + Utility.typeSignatureToString recurses per generic-nesting      level, unbounded, with quadratic substring copies      + Repositories cache classes under the input-defined this_class      name; global static Repository/VerifierFactory make the      poisoning ClassLoader-wide (bsc#1284400, CVE-2026-94114)      + Silent u2/u1 count truncation across dump paths corrupts      emitted bytecode      + Class2HTML emitters write attacker class-file strings into      HTML unescaped (stored XSS in reports) (bsc#1284399,      CVE-2026-105111)      + Class2HTML builds output file paths from the unvalidated class      name      + ClassPath.getBytes() sizes its buffer from the forged ZIP      uncompressed-size field      + PMG attribute ignores declared length, enabling BCEL-vs-JVM      parse divergence      + Signature.matchGJIdent recurses unboundedly on nested generic      signatures (Signature.translate)      + Utility.decode fixed 3x buffer breaks the encode/decode round      trip and throws unchecked AIOOBE      + BCELifier interpolates attacker class/package names into      generated Java source unescaped      + Verifier pass 3a delayed checks are quadratic in attribute and      code size      + Verifier cache grows unboundedly with attacker-chosen class      names      + Static WIDE ThreadLocal survives exceptions, corrupting the      next class's disassembly on the same thread      + Utility.JavaReader escape decoding: OOB table index, bad-hex      crash, silent non-canonical aliasing
     * Changes      + Bump org.apache.commons:commons-parent from 95 to 104      + Bump org.jetbrains.kotlin:kotlin-stdlib from 2.3.0 to 2.4.20      + Bump commons-io:commons-io from 2.21.0 to 2.22.0      + Bump jna.version from 5.18.1 to 5.19.1      + [test] Bump org.apache.commons:commons-collections4 from 4.5.0      to 4.6.0
    - Changes of version 6.12.0      + Add Const.MAJOR_26      + Add Const.MINOR_26      + Fix infinite loop in example.TransitiveHull      + Fix Apache RAT plugin console warnings      + Fix malformed Javadoc comments      + Make the build reproducible on the Azul JDK      + Fix infinite loop in JavaClass.findField() on invalid input      + Fix infinite loop in JavaClass.getAllInterfaces() on invalid      input      + Fix infinite loop in JavaClass.getSuperClasses() on invalid      + Exception message in Args.requireU4() refers to the wrong data      type      + Exception message in Args.requireU2() refers to the wrong      upper range value      + Code.Code(int, int, DataInput, ConstantPool) now throws a      ClassFormatException if the code array is greater than the      JVM specification allows      + Code.Code(int, int, int, int, byte[], CodeException[],      Attribute[], ConstantPool) now throws a ClassFormatException      if the code array is greater than the JVM specification allows      + Code.setCode(byte[]) now throws a ClassFormatException if the      code array is greater than the JVM specification allows      + ClassDumper.dump() should not call the input stream it didn't      open; fixes IOException when calling DumpClass.main      (ClassDumper.java:351)      + org.apache.bcel.classfile.ConstantPool.ConstantPool(Constant[])      now uses varagrs: ConstantPool(Constant...)      + org.apache.bcel.classfile.Deprecated now requires its the      attribute_length item be zero      + org.apache.bcel.classfile.Synthetic now requires its the      + The size of an Attribute unknown to the JVM specification is      limited to 1 MB and is overridden with the system property      BCEL.Attribute.Unknown.max_attribute_length      + Bump org.apache.commons:commons-parent from 89 to 95      + [test] Bump org.jetbrains.kotlin:kotlin-stdlib from 2.2.20 to      2.3.0      + Bump commons-io:commons-io from 2.20.0 to 2.21.0      + Bump commons-lang3 from 3.19.0 to 3.20.0      + [test] Bump org.apache.commons:commons-exec from 1.5.0 to      1.6.0
    - Changes of version 6.11.0      + Add Const.MAJOR_25      + Add Const.MINOR_25      + Add experimental CycloneDX VEX file      + Refactor to use new Maven POM variable ecj.version      + Replace internal use of Locale.ENGLISH with Locale.ROOT      + BCEL-375: Wrong permissions on bcel .jar file in binary      .tar.gz distribution file      + BCEL-376: ClassPath.close() throws      UnsupportedOperationException when created with      system-classpath      + ClassPath.getResources(String) can use an ArrayList instead of      a Vector      + Fix SpotBugs [ERROR] Medium: Operation on the created shared      variable in ConstantUtf8 class is not atomic [org.apache      .bcel.classfile.ConstantUtf8] At ConstantUtf8.java:[line 119]      AT_NONATOMIC_OPERATIONS_ON_SHARED_VARIABLE      + Fix SpotBugs [ERROR] Medium: Operation on the considered      shared variable in ConstantUtf8 class is not atomic [org      .apache.bcel.classfile.ConstantUtf8] At ConstantUtf8.java:
     [line 137] AT_NONATOMIC_OPERATIONS_ON_SHARED_VARIABLE      + Fix SpotBugs [ERROR] Medium: Operation on the skipped shared      .bcel.classfile.ConstantUtf8] At ConstantUtf8.java:[line 134]      + org.apache.bcel.util.ClassPath      .addJdkModules(String, List<String>) now reads the system      property jdk.module.path instead of java.modules.path      + Fix ConstantPoolModuleAccessTest failures on Java 25      + 377: Fix testing on Java 24 and up      + Bump org.apache.commons:commons-parent from 72 to 89      + Bump org.apache.commons:commons-lang3 from 3.14.0 to 3.19.0      + Bump org.jetbrains.kotlin:kotlin-stdlib from 2.0.0 to 2.2.20      + Bump commons-io:commons-io from 2.16.1 to 2.20.0      + Bump jna.version from 5.14.0 to 5.18.1      + Bump org.codehaus.mojo:taglist-maven-plugin from 3.1.0 to      3.2.1      + Bump org.apache.commons:commons-collections4 from 4.5.0-M2 to      4.5.0      + Bump org.apache.commons:commons-exec from 1.4.0 to 1.5.0      a minimum of Java 8      + Fix PMD UnnecessaryFullyQualifiedName      + Fix PMD EmptyCatchBlock by allowing commented blocks      + Fix PMD EmptyControlStatement by allowing commented blocks      JasminVisitor      + SpotBugs checks should ignore code generated by JavaCC      + Fix SpotBugs URF_UNREAD_FIELD in ClassDumper      + Fix SpotBugs DM_DEFAULT_ENCODING in JasminVisitor      ASTFunAppl      Mini.Environment      + Fix SpotBugs DM_DEFAULT_ENCODING in Mini.MiniC      + Fix SpotBugs WMI_WRONG_MAP_ITERATOR in Package.go(String[])      TransitiveHull.getIgnored()      + Add accessors to model and unit tests, Javadoc      + Add Const.MAJOR_22      + Add Const.MINOR_22      + Add Const.MAJOR_23      + Add Const.MINOR_23      + Add Const.MAJOR_24      + Add Const.MINOR_24      2.0.0      to 4.5.0-M2      + Bump org.apache.commons:commons-parent from 69 to 71      3.1.0
     * Includes changes from 6.9.0 Maintenance and bug fix release      + Add Support for Java 16 records      + Add null guard for InstructionFactory.createInvoke()      + Avoid possible NullPointerException in      org.apache.bcel.classfile.DescendingVisitor.accept(E[])      AnnotationEntryGen[])      ConstantPoolGen, boolean)      ElementValue[], ConstantPoolGen)      org.apache.bcel.generic.ClassGen.setMethods(Method[])      + Avoid possible NullPointerException in org.apache.bcel.generic      .ClassGen.unpackAnnotations(Attribute[])      + Avoid possible NullPointerException in org.apache.bcel      .classfile.ParameterAnnotationEntry      .createParameterAnnotationEntries(Attribute[])      org.apache.bcel.generic.ClassGen.ClassGen(JavaClass)      .FieldGenOrMethodGen.addAll(Attribute[])      + Avoid NullPointerException after calling org.apache.bcel      .classfile.MethodParameters.setParameters(MethodParameter[])      with null      .classfile.ParameterAnnotations      .setParameterAnnotationTable(ParameterAnnotationEntry[])      .classfile.LocalVariableTypeTable      .setLocalVariableTable(LocalVariable[]) with null      .classfile.LocalVariableTable      .classfile.LineNumberTable.setLineNumberTable(LineNumber[])      .classfile.JavaClass.setMethods(Method[] with null      .classfile.JavaClass.setInterfaces(int[]) with null      .classfile.JavaClass.setInterfaceNames(String[]) with null      .classfile.JavaClass.setFields(Field[]) with null      .classfile.JavaClass.setAttributes(Attribute[]) with null      .classfile.ConstantPool.setConstantPool(Constant[]) with null      .classfile.FieldOrMethod.setAttributes(Attribute[]) with null      .classfile.Annotations.setAnnotationTable(AnnotationEntry[])      .classfile.ArrayElementValue.ArrayElementValue(int,      ElementValue[], ConstantPool) with null      .classfile.BootstrapMethod.BootstrapMethod(int, int[]) with      null      .classfile.BootstrapMethod.setBootstrapArguments(int[]) with      .classfile.BootstrapMethods.BootstrapMethods(int, int,      BootstrapMethod[], ConstantPool) with null      .classfile.BootstrapMethods      .setBootstrapMethods(BootstrapMethod[]) with null      + Avoid NullPointerException calling org.apache.bcel.generic      .InstructionList.redirectLocalVariables(LocalVariableGen[],      InstructionHandle, InstructionHandle) with null      .InstructionList.redirectExceptionHandlers(CodeExceptionGen[],      .InstructionList.findHandle(InstructionHandle[], int[], int,      int) with null      .MethodGen.setArgumentTypes(Type[]) with null      .MethodGen.setArgumentNames(String[]) with null      .MethodGen.removeRuntimeAttributes(Attribute[]) with null      .MethodGen.makeMutableVersion(AnnotationEntry[]) with null      + Bump org.apache.commons:commons-parent from 66 to 69      + Bump org.jetbrains.kotlin:kotlin-stdlib from 1.9.22 to 1.9.23      + Bump commons-io:commons-io from 2.15.1 to 2.16.1
     * 6.8.0 (2023-12-08) Maintenance and bug fix release      ClassFormatException      input Java4Example      ~ Add verifier tests on some opcodes      signatures      ~ Add Const.MAJOR_20      ~ Add Const.MINOR_20      ~ Add Const.MAJOR_21      ~ Add Const.MINOR_21      ~ [Bcelifier] stackmap support to pass JDK verifier      SE_BAD_FIELD      BCELFactory.java:[lines 192-196] SF_SWITCH_FALLTHROUGH      NullPointerException      not a NullPointerException      ~ Test and coverage of InstructionFactory      ~ Verifier: test and coverage for SWAP instruction      () in it`()'      ~ Fix null pointers in AnnotationEntry      supports package-private)      test      ATHROW on empty stack      Select#toString(boolean)      ~ Fix EmptyVisitorTestCase on Java 21      ~ Bump commons-parent from 54 to 65      ~ Bump jna.version from 5.12.1 to 5.13.0      ~ Bump kotlin-stdlib from 1.8.10 to 1.9.21      ~ Bump commons-io from 2.11.0 to 2.15.1      ~ Bump commons-lang3 from 3.12.0 to 3.14.0      3.1.1
     * 6.7.0 (2022-11-28) Maintenance and bug fix release
     * 6.6.1 (2022-10-29) Maintenance and bug fix release
     * 6.6.0 (2022-10-08) Minor feature and bug fix release
     * 6.5.0 (2020-06-05) Minor feature and bug fix release
     * 6.4.1 (2019-09-26) Bug fix release
     * 6.4.0 (2019-09-20) Feature and bug fix release      requires Java 7 or higher to run      class      org.apache.bcel.generic.InstructionConsts class      java.lang.String

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has a package installed that is affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:5199-1 advisory.

    - CVE-2026-94114: Apache Commons BCEL: Nested Code/Record attributes drive unbounded parse-time recursion     in ClassParser       (bsc#1284400).
    - CVE-2026-105111: Apache Commons BCEL: Class2HTML emits unescaped class strings, enabling stored XSS     (bsc#1284399).

    Changes for bcel:

    - Updated to version 6.13.0.

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Symbolic name not mapping to correct class. BCEL caches attacker-controlled classes under their self-     declared names without validating the requested name, allowing subsequent lookups and name-keyed     verification results to refer to a different class. This issue affects Apache Commons BCEL: before 6.13.0.
    Users are recommended to upgrade to version 6.13.0, which fixes the issue. (CVE-2026-94114)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
363801	Linux Distros 未修補弱點：CVE-2026-94114	Nessus	Misc.	10/7/2026	11/6/2026	high
363801	Linux Distros 未修补的漏洞：CVE-2026-94114	Nessus	Misc.	10/7/2026	11/6/2026	high
367232	openSUSE 16 セキュリティ更新:bcel(openSUSE-SU-2026:22109-1)	Nessus	SuSE Local Security Checks	10/19/2026	10/19/2026	high
363801	Linux Distros のパッチ未適用の脆弱性: CVE-2026-94114	Nessus	Misc.	10/7/2026	11/6/2026	high
379834	Amazon Linux 2023 : bcel (ALAS2023-2026-3422)	Nessus	Amazon Linux Local Security Checks	11/12/2026	11/12/2026	high
367232	openSUSE 16 Security Update : bcel (openSUSE-SU-2026:22109-1)	Nessus	SuSE Local Security Checks	10/19/2026	10/19/2026	high
379423	SUSE SLED15 / SLES15 Security Update : bcel (SUSE-SU-2026:5199-1)	Nessus	SuSE Local Security Checks	11/12/2026	11/12/2026	high
363801	Linux Distros Unpatched Vulnerability : CVE-2026-94114	Nessus	Misc.	10/7/2026	11/6/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high