CVE-2014-1972

Wysokie

Opublikowano: 22/08/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Apache Tapestry przed wersją 5.3.6 polega na przechowywaniu obiektów po stronie klienta bez weryfikacji, czy klient zmodyfikował obiekt. To umożliwia zdalnym atakującym spowodowanie odmowy usługi (zużycie zasobów) lub wykonanie dowolnego kodu za pomocą spreparowanych danych serializowanych.

Ocena ryzyka

Podatność ta może prowadzić do poważnych problemów z dostępnością aplikacji oraz umożliwić atakującym wykonanie nieautoryzowanego kodu, co stwarza zagrożenie dla integralności systemu.

Rekomendacja

Zaleca się aktualizację Apache Tapestry do wersji 5.3.6 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych mechanizmów weryfikacji danych po stronie serwera.

Inne podatności w Apache Tapestry

CVE-2026-61899Wysokie
Podatność w tapestry-core w Apache Tapestry 5.5.0+ na wszystkich platformach umożliwia atakującym pobieranie zasobów classpath za pomocą specjalnie spreparowanych adresów URL. Zaleca się aktualizację do wersji 5.9.1, która naprawia ten problem.

Oryginalny opis (angielski, źródło NVD)

Apache Tapestry before 5.3.6 relies on client-side object storage without checking whether a client has modified an object, which allows remote attackers to cause a denial of service (resource consumption) or execute arbitrary code via crafted serialized data.