Alta

Hazelcast has an authorization bypass in IMap Predicates API

Publicada: 08.10.2026
Actualizado: 11.10.2026 13:20

Impact

Missing authorization checks in the Predicates API may allow a malicious client to execute arbitrary code on a Hazelcast member.

Patches

Enterprise customers should upgrade to a fixed version of Hazelcast Enterprise Edition:

5.7.0
5.6.1
5.5.10
5.4.5

Customers with extended support contracts should contact Hazelcast Support for information on patches for older versions.

Community Edition users should upgrade to version 5.7.0.

Workarounds

None - customers are advised to upgrade to a fixed version as soon as possible.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	com.hazelcast:hazelcast	>= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0	5.7.0

Referencias

Puntuación CVSS -

Vector CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Debilidad (CWE): CWE-862
Plataforma: Java / Kotlin (Maven)
Paquete: com.hazelcast:hazelcast
Publicada: 08.10.2026
Actualizado: 11.10.2026 13:20

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-w294-6q5q-53p8 - CC BY 4.0

Historial de vulnerabilidades: com.hazelcast:hazelcast

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (10) en el archivo

Entradas en total: 10
Primera → última: 01.2022 10.2026
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Crítica 4
Alta 5
Media 1

Divulgaciones por año

2022: 4
2023: 2
2024: 2
2025: 0
2026: 2

08.10.2026

Hazelcast allows arbitrary member memory access by low-privileged client

Crítica CVE-2026-107726 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
08.10.2026

Hazelcast has an authorization bypass in IMap Predicates API esta entrada

Alta CVE-2026-107725 >= 5.6.0, < 5.7.0, >= 5.5.0, < 5.7.0, < 5.7.0 5.7.0
27.02.2024

Missing permission checks on Hazelcast client protocol

Alta · 7.6 CVE-2023-45859 <= 4.1.10, >= 4.2, <= 4.2.8, >= 5.0, <= 5.0.5, >= 5.1, <= 5.1.7, >= 5.2.0, < 5.2.5, >= 5.3.0, < 5.3.5 5.2.5, 5.3.5
16.02.2024

Hazelcast Platform permission checking in CSV File Source connector

Alta · 6.5 CVE-2023-45860 >= 5.3.0, < 5.3.5, >= 5.2.0, < 5.2.5, <= 5.1.7 5.3.5, 5.2.5
19.07.2023

Hazelcast Executor Services don't check client permissions properly

Alta · 7.6 CVE-2023-33265 >= 5.2.0, < 5.2.4, >= 5.1.0, < 5.1.7, < 5.0.5 5.2.4, 5.1.7, 5.0.5
27.12.2022

Hazelcast connection caching

Crítica · 9.1 CVE-2022-36437 < 3.12.13, >= 4.0, <= 4.0.6, >= 4.1, < 4.1.10, >= 4.2, < 4.2.6, >= 5.0, < 5.0.4, >= 5.1, < 5.1.3 3.12.13, 4.1.10, 4.2.6, 5.0.4, 5.1.3
24.05.2022

Deserialization of Untrusted Data in Hazelcast

Alta · 8.1 CVE-2016-10750 < 3.11 3.11
04.03.2022

XML External Entity Reference in Hazelcast

Crítica · 9.8 CVE-2022-0265 >= 5.1-beta1, < 5.1 5.1
21.01.2022

Security Advisory for "Log4Shell"

Crítica · 10.0 ghsa-v57x-gxfj-484q >= 5.0, < 5.0.2, >= 4.0.0, < 4.0.5, >= 4.1.1, < 4.1.8, >= 4.2, < 4.2.4 5.0.2, 4.0.5, 4.1.8, 4.2.4

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación