CVE-2015-0249
WysokieStreszczenie
Szablon strony weblog w Apache Roller w wersjach 5.1 do 5.1.1 pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu Java za pomocą spreparowanego języka Velocity Text Language (VTL).
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Apache Roller, aby usunąć tę podatność oraz ograniczenie dostępu do funkcji administracyjnych tylko dla zaufanych użytkowników.
Inne podatności w Apache Roller
Zobacz wszystkie- CVE-2014-0030Krytyczne
Wsparcie protokołu XML-RPC w Apache Roller przed wersją 5.0.3 umożliwia atakującym przeprowadzanie ataków XML External Entity (XXE) za pomocą nieokreślonych wektorów.
- CVE-2023-37581Średnie
Wszystkie wersje Apache Roller mają niewystarczającą walidację i sanitację danych wejściowych w funkcjach nazwy kategorii, informacji o stronie oraz przesyłania plików, co pozwala uwierzytelnionemu użytkownikowi na przeprowadzenie ataku XSS.
Oryginalny opis (angielski, źródło NVD)
The weblog page template in Apache Roller 5.1 through 5.1.1 allows remote authenticated users with admin privileges for a weblog to execute arbitrary Java code via crafted Velocity Text Language (aka VTL).