CVE-2018-14667

Adatlap

CVE: CVE-2018-14667
EUVD: EUVD-2022-4307
GHSA: GHSA-j7mw-7crr-658v
Eszköztípus: IT
Publikálva: 2018. 11. 06. 23:00
Frissítve: 2025. 10. 22. 01:45
Súlyosság: Kritikus
Prioritás: Riasztás
CWE: CWE-94

CVSS-pontszámok

Verzió	Pontszám	Súlyosság	Vektor
3.0	9,8	Kritikus	`CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

Hálózatról kihasználható · Alacsony komplexitás · Nem szükséges jogosultság · Nem szükséges felhasználói interakció

Eredeti leírás

The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.

Érintett termékek

RichFaces [UNKNOWN] Verziók: affected 3.X through 3.3.4

Prioritás

Szint: Riasztás
Teendő: Azonnali intézkedés javasolt: a szoftvert 24 órán belül frissítse. Ha a frissítés nem telepíthető azonnal, alkalmazza a gyártó által javasolt kerülő megoldást, és a javításig fokozottan figyelje a sérülékenység kihasználására irányuló kísérleteket.

Kihasználási státusz

EPSS: 74,20%
Kihasználtság: Aktív
Kihasználás óta: 2023. 09. 28.
Automatizálhatóság: Igen
Technikai hatás: Teljes

Javítás

Gyártói hivatkozás: Van patch vagy gyártói közlemény a hivatkozások között

Tájékozódjon a gyártói hivatkozásban.