CVE-2025-47410
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Apache Geode jest podatny na ataki CSRF poprzez żądania GET do interfejsu REST API zarządzania i monitorowania, co może pozwolić atakującemu, który nakłonił użytkownika do ujawnienia danych sesji Geode, na wysyłanie złośliwych poleceń w imieniu uwierzytelnionego użytkownika. Problem dotyczy wersji od 1.10 do 1.15.1.
Ocena ryzyka
Atakujący może wykonać nieautoryzowane operacje w systemie w imieniu zalogowanego użytkownika, co może prowadzić do naruszenia integralności danych.
Rekomendacja
Zaktualizuj Apache Geode do wersji 1.15.2, która naprawia tę podatność.
Inne podatności w Apache Geode
Zobacz wszystkie- CVE-2017-5649Wysokie
Apache Geode przed wersją 1.1.1, w przypadku włączonego zabezpieczenia, pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami CLUSTER:READ, ale bez DATA:READ, na dostęp do strony przeglądarki danych w Pulse, co umożliwia wykonanie zapytania OQL i ujawnienie danych przechowywanych w klastrze.
- CVE-2026-103371Wysokie
Apache Geode Web Management w wersjach od 2.0.0 do przed 2.0.3 zawiera podatność polegającą na umieszczeniu wrażliwych informacji w pliku dziennika. Zalecana jest aktualizacja do wersji 2.0.3.
Oryginalny opis (angielski, źródło NVD)
Apache Geode is vulnerable to CSRF attacks through GET requests to the Management and Monitoring REST API that could allow an attacker who has tricked a user into giving up their Geode session credentials to submit malicious commands on the target system on behalf of the authenticated user. This issue affects Apache Geode: versions 1.10 through 1.15.1 Users are recommended to upgrade to version 1.15.2, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS