CVE-2023-39017
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 59 - wyżej niż 59% wszystkich znanych CVE
Streszczenie
Wersje quartz-jobs 2.3.2 i wcześniejsze zawierają podatność na wstrzykiwanie kodu w komponencie org.quartz.jobs.ee.jms.SendQueueMessageJob.execute. Wykorzystanie tej podatności polega na przekazywaniu niezweryfikowanego argumentu.
Ocena ryzyka
Podatność ta może prowadzić do nieautoryzowanego wykonania kodu, jednak istnieją wątpliwości co do możliwości dotarcia nieufnych danych wejściowych do miejsca, w którym może nastąpić wstrzyknięcie.
Rekomendacja
Zaleca się aktualizację do nowszej wersji quartz-jobs, aby zminimalizować ryzyko związane z tą podatnością.
Oryginalny opis (angielski, źródło NVD)
quartz-jobs 2.3.2 and below was discovered to contain a code injection vulnerability in the component org.quartz.jobs.ee.jms.SendQueueMessageJob.execute. This vulnerability is exploited via passing an unchecked argument. NOTE: this is disputed by multiple parties because it is not plausible that untrusted user input would reach the code location where injection must occur.