CVE-2020-13956
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 95 - wyżej niż 95% wszystkich znanych CVE
Streszczenie
Apache HttpClient w wersjach wcześniejszych niż 4.5.13 i 5.0.3 może błędnie interpretować nieprawidłowy komponent authority w URI żądań przekazywanych do biblioteki jako obiekt java.net.URI i wybrać niewłaściwy host docelowy do wykonania żądania.
Ocena ryzyka
Błędne wybranie hosta docelowego może prowadzić do wysyłania żądań do nieoczekiwanych serwerów, co może skutkować ujawnieniem danych lub atakami typu SSRF.
Rekomendacja
Zaleca się aktualizację Apache HttpClient do wersji 4.5.13 lub 5.0.3 lub nowszej oraz walidację URI przed przekazaniem do biblioteki.
Inne podatności w Apache HttpClient
Zobacz wszystkie- CVE-2013-4366Krytyczne
W Apache HttpClient w wersjach 4.3.x przed 4.3.1 nie zapewniono, że X509HostnameVerifier nie jest nullem, co może umożliwić atakującym wykorzystanie luk w weryfikacji nazw hostów.
- CVE-2026-40542Wysokie
W Apache HttpClient 5.6 brakuje krytycznego kroku w uwierzytelnianiu, co pozwala atakującemu na wymuszenie akceptacji mechanizmu SCRAM-SHA-256 bez poprawnej weryfikacji wzajemnego uwierzytelnienia. Luka została naprawiona w wersji 5.6.1.
Oryginalny opis (angielski, źródło NVD)
Apache HttpClient versions prior to version 4.5.13 and 5.0.3 can misinterpret malformed authority component in request URIs passed to the library as java.net.URI object and pick the wrong target host for request execution.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS