CVE-2023-33546
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Janino w wersji 3.1.9 i wcześniejszych jest podatny na ataki typu denial of service (DOS) przy użyciu metody evaluator.guess parametru name. W przypadku, gdy parser działa na danych dostarczonych przez użytkownika, atakujący może dostarczyć treść, która spowoduje awarię parsera z powodu przepełnienia stosu.
Ocena ryzyka
Organizacja może doświadczyć przestojów w działaniu aplikacji, co prowadzi do utraty dostępności usług. Potencjalne wykorzystanie tej podatności może wpłynąć na reputację i zaufanie do systemów organizacji.
Rekomendacja
Zaleca się unikanie używania Janino z niezaufanymi danymi wejściowymi oraz wdrożenie mechanizmów walidacji i sanitizacji danych przed ich przetworzeniem.
Oryginalny opis (angielski, źródło NVD)
Janino 3.1.9 and earlier are subject to denial of service (DOS) attacks when using the expression evaluator.guess parameter name method. If the parser runs on user-supplied input, an attacker could supply content that causes the parser to crash due to a stack overflow. NOTE: this is disputed by multiple parties because Janino is not intended for use with untrusted input.