CVE-2022-35278
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 68 - wyżej niż 68% wszystkich znanych CVE
Streszczenie
W Apache ActiveMQ Artemis przed wersją 2.24.0, atakujący mógł wyświetlić złośliwą treść i/lub przekierować użytkowników na złośliwy adres URL w konsoli webowej, wykorzystując HTML w nazwie adresu lub kolejki.
Ocena ryzyka
Zagrożenie to może prowadzić do oszustw phishingowych oraz narażenia użytkowników na złośliwe oprogramowanie, co może wpłynąć na bezpieczeństwo organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 2.24.0 lub nowszej, aby zniwelować tę podatność.
Inne podatności w Apache ActiveMQ Artemis
Zobacz wszystkie- CVE-2023-50780Wysokie
Apache ActiveMQ Artemis przed wersją 2.29.0 umożliwia dostęp do informacji diagnostycznych i kontroli przez MBeans, w tym MBean Log4J2, który nie powinien być dostępny dla użytkowników niebędących administratorami. To może pozwolić uwierzytelnionemu atakującemu na zapis dowolnych plików w systemie plików i pośrednio osiągnięcie zdalnego wykonania kodu (RCE).
- CVE-2016-4978Wysokie
Metoda getObject klasy javax.jms.ObjectMessage w Apache ActiveMQ Artemis przed wersją 1.4.0 może umożliwić zdalnym uwierzytelnionym użytkownikom, którzy mają uprawnienia do wysyłania wiadomości do brokera Artemis, deserializację dowolnych obiektów i wykonanie dowolnego kodu.
- CVE-2025-27391Średnie
W podatności w Apache ActiveMQ Artemis występuje wstawianie wrażliwych informacji do pliku dziennika. Wszystkie wartości właściwości brokera są rejestrowane, gdy logger org.apache.activemq.artemis.core.config.impl.ConfigurationImpl ma włączony poziom debugowania.
- CVE-2025-27427Średnie
W Apache ActiveMQ Artemis występuje podatność, która pozwala użytkownikowi z uprawnieniami do tworzenia kolejek na modyfikację typu routingu adresu, nawet jeśli nie ma on uprawnienia do tworzenia tego adresu. Może to prowadzić do wysyłania wiadomości z typem routingu, który nie jest obsługiwany przez dany adres.
- CVE-2022-23913Wysokie
W Apache ActiveMQ Artemis przed wersją 2.20.0 lub 2.19.1, atakujący mógł częściowo zakłócić dostępność systemu (DoS) poprzez niekontrolowane zużycie pamięci.
- CVE-2021-26118Wysokie
W protokole OpenWire w Apache ActiveMQ Artemis 2.15.0 wystąpiła luka, która pozwalała na obejście kontroli dostępu opartej na politykach podczas tworzenia komunikatów doradczych dla całej sesji. Produkcja tych komunikatów nie była objęta kontrolą dostępu, co stanowi błąd.
- CVE-2020-13932Średnie
W Apache ActiveMQ Artemis w wersjach od 2.5.0 do 2.13.0 istnieje podatność na atak XSS, która może być wykorzystana poprzez specjalnie skonstruowany pakiet MQTT zawierający ładunek XSS w nazwie client-id lub tematu. Ładunek XSS jest wstrzykiwany do przeglądarki konsoli administracyjnej.
Oryginalny opis (angielski, źródło NVD)
In Apache ActiveMQ Artemis prior to 2.24.0, an attacker could show malicious content and/or redirect users to a malicious URL in the web console by using HTML in the name of an address or queue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS