CVE-2025-23366
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
W komponencie Wildfly, w konsoli HAL, wykryto podatność polegającą na niewłaściwym neutralizowaniu danych wejściowych przed umieszczeniem ich na stronie internetowej, co może prowadzić do ataku XSS. Atakujący musi być uwierzytelniony jako użytkownik należący do grup zarządzania "SuperUser", "Admin" lub "Maintainer".
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwego skryptu w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację Wildfly do wersji z poprawką oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w Wildfly
Zobacz wszystkie- CVE-2026-15567Wysokie
W Wildfly stwierdzono wadę polegającą na możliwości wywołania błędu OutOfMemoryError przez zdalnego, nieuwierzytelnionego atakującego. Dzieje się tak, ponieważ dekoder tokena GSS w CSIv2Util odczytuje pole długości kontrolowane przez atakującego bez sprawdzania granic i próbuje przydzielić tablicę bajtów o tym rozmiarze.
- CVE-2026-17614Średnie
W WildFly w trybie domenowym wykryto podatność polegającą na przechodzeniu poza katalog (path traversal). Metody LocalFileRepository.getFile() i getConfigurationFile() nie walidują, czy rozwiązywana ścieżka pliku pozostaje w skonfigurowanych katalogach. Zdalny atakujący, który zdobędzie sekret kontrolera hosta podrzędnego lub skompromituje taki kontroler, może podać spreparowaną ścieżkę względną z sekwencjami przechodzenia (np. ../../etc/passwd), co pozwoli na odczyt dowolnych plików dostępnych dla procesu kontrolera domeny.
- CVE-2025-23367Średnie
W dostawcy kontroli dostępu opartej na rolach (RBAC) w Wildfly Server wykryto błąd, który pozwala użytkownikowi bez wymaganych uprawnień na zawieszenie lub wznowienie serwera. Użytkownik z rolą Monitor lub Auditor powinien mieć tylko prawa do odczytu i nie powinien móc zawieszać serwera. Podatność wynika z braku kontroli autoryzacji w handlerach Suspend i Resume.
- CVE-2024-10234Średnie
W Wildfly wykryto podatność na Cross-site scripting w systemie wdrażania aplikacji. Użytkownik może wykonać wdrożenie ze złośliwym ładunkiem, co może wywołać niepożądane zachowanie serwera.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the HAL Console in the Wildfly component, which does not neutralize or incorrectly neutralizes user-controllable input before it is placed in output used as a web page that is served to other users. The attacker must be authenticated as a user that belongs to management groups “SuperUser”, “Admin”, or “Maintainer”.