CVE-2016-0709

Wysokie

Opublikowano: 11/04/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Podatność typu directory traversal w funkcji importu/eksportu w Apache Jetspeed przed wersją 2.3.1 pozwala zdalnym, uwierzytelnionym administratorom na zapis do dowolnych plików, co może prowadzić do wykonania dowolnego kodu.

Ocena ryzyka

Organizacja może być narażona na zdalne wykonanie kodu, co stwarza poważne zagrożenie dla integralności i bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację Apache Jetspeed do wersji 2.3.1 lub nowszej, aby usunąć tę podatność.

Inne podatności w Apache Jetspeed

CVE-2016-2171Wysokie
Usługa Menedżera Użytkowników w Apache Jetspeed przed wersją 2.3.1 nie ogranicza prawidłowo dostępu przy użyciu zabezpieczeń Jetspeed, co pozwala zdalnym atakującym na dodawanie, edytowanie lub usuwanie użytkowników za pomocą API REST.

Oryginalny opis (angielski, źródło NVD)

Directory traversal vulnerability in the Import/Export function in the Portal Site Manager in Apache Jetspeed before 2.3.1 allows remote authenticated administrators to write to arbitrary files, and consequently execute arbitrary code, via a .. (dot dot) in a ZIP archive entry, as demonstrated by "../../webapps/x.jsp."