CVE-2020-11987

WysokieCVSS 8.2

Opublikowano: 24/02/2021(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 09/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Bardzo wysokie ryzyko

13.28%

Percentyl 96 - wyżej niż 96% wszystkich znanych CVE

Streszczenie

Apache Batik 1.13 jest podatny na atak typu Server-Side Request Forgery (SSRF) spowodowany nieprawidłową walidacją danych wejściowych w komponencie NodePickerPanel. Atakujący może wykorzystać specjalnie spreparowany argument, aby serwer wykonywał dowolne żądania GET.

Ocena ryzyka

Możliwość wykonywania nieautoryzowanych żądań do wewnętrznych zasobów sieciowych, co może prowadzić do ujawnienia danych lub dalszych ataków.

Rekomendacja

Zaktualizuj Apache Batik do wersji, która zawiera poprawkę dla tej podatności.

Inne podatności w Apache Batik

CVE-2017-5662Wysokie
W Apache Batik przed wersją 1.9 istnieje podatność, która pozwala na ujawnienie plików znajdujących się na systemie plików serwera użytkownikom, którzy wysyłają złośliwie sformułowane pliki SVG. Typy plików, które mogą być ujawnione, zależą od kontekstu użytkownika, w którym działa aplikacja.

Oryginalny opis (angielski, źródło NVD)

Apache Batik 1.13 is vulnerable to server-side request forgery, caused by improper input validation by the NodePickerPanel. By using a specially-crafted argument, an attacker could exploit this vulnerability to cause the underlying server to make arbitrary GET requests.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS