CVE-2025-58782
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 71 - wyżej niż 71% wszystkich znanych CVE
Streszczenie
Podatność na deserializację niezaufanych danych w Apache Jackrabbit Core i Apache Jackrabbit JCR Commons (wersje od 1.0.0 do 2.22.1). Wdrożenia akceptujące identyfikatory URI JNDI do wyszukiwania JCR od niezaufanych użytkowników pozwalają im wstrzykiwać złośliwe referencje JNDI, co może prowadzić do wykonania dowolnego kodu.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe referencje JNDI i doprowadzić do wykonania dowolnego kodu, przejmując kontrolę nad aplikacją lub serwerem.
Rekomendacja
Zaktualizuj do wersji 2.22.2, w której wyszukiwanie JCR przez JNDI jest domyślnie wyłączone; jeśli funkcja jest potrzebna, włącz ją jawnie i przejrzyj użycie URI JNDI.
Inne podatności w Apache Jackrabbit
Zobacz wszystkie- CVE-2016-6801Wysokie
W podatności CVE-2016-6801 występuje problem z weryfikacją typu zawartości w Jackrabbit-Webdav, co umożliwia atakującym zdalne przejęcie uwierzytelnienia ofiar podczas tworzenia zasobów za pomocą żądania HTTP POST z brakującym lub spreparowanym nagłówkiem Content-Type.
- CVE-2026-92414Krytyczne
Podatność typu Session Fixation / Session Reuse w Apache Jackrabbit. Serwer WebDAV dołącza buforowaną, uwierzytelnioną sesję do dowolnego dopasowania tokena Lock-Token/TransactionId/SubscriptionId/If-header bez weryfikacji poświadczeń. Dotyczy wersji od 2.23.0 do 2.23.5, od 2.22.0 do 2.22.4 oraz od 2.20.0 do 2.20.17.
- CVE-2026-92415Średnie
Podatność typu "Użycie zewnętrznie kontrolowanego wejścia do wyboru klas lub kodu" w kliencie WebDAV/Davex Apache Jackrabbit. Złośliwy serwer WebDAV/DavEx lub atakujący mogący przechwycić połączenie może spowodować, że klient utworzy dowolne klasy z jego classpath, co może prowadzić do dowolnego tworzenia lub obcinania plików. Dotyczy to tylko aplikacji używających jackrabbit-spi2dav (bezpośrednio lub przez jackrabbit-jcr2dav) do połączenia ze zdalnym repozytorium. Serwery Jackrabbit nie są dotknięte. Kategoria: niebezpieczna refleksja na danych sieciowych (WYSOKA).
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data vulnerability in Apache Jackrabbit Core and Apache Jackrabbit JCR Commons. This issue affects Apache Jackrabbit Core: from 1.0.0 through 2.22.1; Apache Jackrabbit JCR Commons: from 1.0.0 through 2.22.1. Deployments that accept JNDI URIs for JCR lookup from untrusted users allows them to inject malicious JNDI references, potentially leading to arbitrary code execution through deserialization of untrusted data. Users are recommended to upgrade to version 2.22.2. JCR lookup through JNDI has been disabled by default in 2.22.2. Users of this feature need to enable it explicitly and are adviced to review their use of JNDI URI for JCR lookup.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS