CVE-2025-11966
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] oraz [5.0.0, 5.0.4], gdy włączone jest wyświetlanie listy katalogów, nazwy plików i katalogów są wstawiane do generowanego HTML bez odpowiedniego escapowania w atrybutach href, title i link. Atakujący mogący tworzyć lub zmieniać nazwy plików w udostępnianym katalogu może wywołać przechowywany XSS.
Ocena ryzyka
Użytkownicy przeglądający zainfekowany listing katalogów mogą stać się ofiarami wykonania złośliwego skryptu w ich przeglądarce, co może prowadzić do kradzieży sesji lub innych działań w kontekście ofiary.
Rekomendacja
Zaktualizuj Eclipse Vert.x do wersji 4.5.22 lub 5.0.5 (lub nowszej). Jeśli to niemożliwe, wyłącz wyświetlanie listy katalogów lub ogranicz możliwość tworzenia i zmiany nazw plików w udostępnianych katalogach.
Inne podatności w Eclipse Vert.x
Zobacz wszystkie- CVE-2026-15075Wysokie
W Eclipse Vert.x do wersji 4.5.29 (4.x) i 5.1.4 (5.x) komponent DefaultRedirectHandler (vertx-core) przekazuje wszystkie nagłówki żądania, w tym uwierzytelniające (Authorization, Cookie, Proxy-Authorization) oraz niestandardowe (np. X-API-Token), podczas przekierowań HTTP 30x między różnymi źródłami. Brak weryfikacji pochodzenia (schemat, host, port) przed skopiowaniem nagłówków do celu przekierowania.
- CVE-2025-11965Wysokie
W Eclipse Vert.x w wersjach [4.0.0, 4.5.21] i [5.0.0, 5.0.4], konfiguracja StaticHandler mająca ograniczać dostęp do ukrytych plików nie ogranicza dostępu do ukrytych katalogów, co pozwala nieautoryzowanym użytkownikom na pobieranie plików z tych katalogów (np. '.git/config').
- CVE-2024-1300Średnie
W Eclipse Vert.x wykryto podatność powodującą wyciek pamięci w serwerach TCP skonfigurowanych z TLS i obsługą SNI. Podczas przetwarzania nieznanej nazwy serwera SNI, której przypisano domyślny certyfikat zamiast mapowanego, kontekst SSL jest błędnie buforowany w mapie nazw serwerów, co prowadzi do wyczerpania pamięci. Atakujący może wysyłać wiadomości TLS client hello z fałszywymi nazwami serwerów, wywołując błąd braku pamięci w JVM.
- CVE-2024-1023Średnie
Podatność w Eclipse Vert.x powoduje wyciek pamięci z powodu użycia struktur danych Netty FastThreadLocal. Wyciek występuje, gdy klient HTTP Vert.x nawiązuje połączenia z różnymi hostami, a może być przyspieszony przez atakującego z dogłębną znajomością środowiska wykonawczego. Serwer akceptujący dowolne adresy internetowe może służyć jako wektor ataku, przyspieszając wyciek pamięci.
Oryginalny opis (angielski, źródło NVD)
In Eclipse Vert.x versions [4.0.0, 4.5.21] and [5.0.0, 5.0.4], when "directory listing" is enabled, file and directory names are inserted into generated HTML without proper escaping in the href, title, and link attributes. An attacker who can create or rename files or directories within a served path can craft filenames containing malicious script or HTML content, leading to stored cross-site scripting (XSS) that executes in the context of users viewing the affected directory listing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS