CVE-2020-13936
Yüksek
Açıklama
Velocity şablonlarını değiştirebilen bir saldırgan, Servlet konteynerini çalıştıran hesapla aynı ayrıcalıklara sahip olarak rastgele Java kodu yürütebilir veya rastgele sistem komutları çalıştırabilir. Bu durum, güvenilmeyen kullanıcıların Apache Velocity Engine 2.2 ve önceki sürümlerini kullanan uygulamalarda velocity şablonlarını yüklemesine veya değiştirmesine izin veren uygulamalar için geçerlidir.
ÖnemYüksek
CVSS8.8
İstismar olasılığı98. yüzdelik%22,7
Ürün
Apache Velocity Engine
Yayın10 Mar 2021
İlk görülme10 Mar 2021
Nasıl düzeltilir
Güncelleyin
- apache velocity_engine2.3 ya da sonraki bir sürüm
- org.apache.velocity:velocity-engine-parent2.3 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache velocity_engine | v < 2.3 | 2.3 |
| apache wss4j | 2.3.1 | — |
| debian debian_linux | 9.0 | — |
| oracle banking_deposits_and_lines_of_credit_servicing | 2.12.0 | — |
| oracle banking_enterprise_default_management | 2.3.0 ≤ v ≤ 2.4.1, 2.6.2, 2.7.1, 2.10.0, 2.12.0 | — |
| oracle banking_loans_servicing | 2.12.0 | — |
| oracle banking_party_management | 2.7.0 | — |
| oracle banking_platform | 2.3.0 ≤ v ≤ 2.4.1, 2.6.2, 2.7.1 | — |
| oracle communications_cloud_native_core_policy | 1.14.0 | — |
| oracle communications_network_integrity | 7.3.6 | — |
| oracle hospitality_token_proxy_service | 19.2 | — |
| oracle retail_integration_bus | 19.0.1 | — |
| oracle retail_order_broker | 16.0 | — |
| oracle retail_service_backbone | 19.0.1 | — |
| oracle retail_xstore_office_cloud_service | 16.0.6, 17.0.4, 18.0.3, 19.0.2, 20.0.1 | — |
| oracle utilities_testing_accelerator | 6.0.0.1.1, 6.0.0.2.2, 6.0.0.3.1 | — |
| org.apache.velocity:velocity-engine-parentMaven | v < 2.3 | 2.3 |
| org.apache.velocity:velocityMaven | v ≤ 1.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.