CVE-2019-10086
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W Apache Commons Beanutils 1.9.2 dodano specjalną klasę BeanIntrospector, która pozwala na zablokowanie dostępu do classloadera przez właściwość 'class' dostępną na wszystkich obiektach Java. Jednak nie była ona domyślnie używana przez PropertyUtilsBean.
Ocena ryzyka
Atakujący może wykorzystać dostęp do classloadera do przeprowadzenia ataków, takich jak zdalne wykonanie kodu lub eskalacja uprawnień.
Rekomendacja
Zaktualizuj Apache Commons Beanutils do wersji 1.9.3 lub nowszej, która domyślnie używa tej ochrony.
Inne podatności w Apache Commons Beanutils
Zobacz wszystkie- CVE-2014-0114Wysokie
Apache Commons BeanUtils w wersji 1.8.0 oraz w innych produktach wymagających commons-beanutils do wersji 1.9.2 nie blokuje właściwości klasy, co umożliwia zdalnym atakującym manipulację ClassLoaderem i wykonanie dowolnego kodu.
- CVE-2025-48734Wysokie
Podatność w Apache Commons BeanUtils wynika z niewłaściwej kontroli dostępu. Jeśli aplikacja przekazuje ścieżki właściwości z zewnętrznego źródła bezpośrednio do metody getProperty() lub getNestedProperty() klasy PropertyUtilsBean, atakujący może uzyskać dostęp do właściwości 'declaredClass' obiektów enum, a tym samym do ClassLoadera i wykonać dowolny kod.
Oryginalny opis (angielski, źródło NVD)
In Apache Commons Beanutils 1.9.2, a special BeanIntrospector class was added which allows suppressing the ability for an attacker to access the classloader via the class property available on all Java objects. We, however were not using this by default characteristic of the PropertyUtilsBean.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS