CVE-2026-105111

ŚrednieCVSS 4.7

Opublikowano: 06/10/2026(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 07/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Podatność typu cross-site scripting (XSS) w Apache Commons BCEL wynika z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron HTML. Występuje, gdy używa się Class2HTML do generowania stron dla plików klas potencjalnie kontrolowanych przez atakującego — emitery Class2HTML zapisują ciągi z plików klas do HTML bez escapowania (stored XSS w raportach). Dotyczy wersji przed 6.13.0.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwy kod JavaScript do generowanych raportów HTML, co może prowadzić do kradzieży sesji lub innych działań w przeglądarce ofiary.

Rekomendacja

Zaktualizuj Apache Commons BCEL do wersji 6.13.0, która naprawia tę podatność. Unikaj generowania raportów HTML z niezaufanych plików klas bez dodatkowej sanityzacji.

Inne podatności w Apache Commons BCEL

CVE-2026-94114Średnie
W Apache Commons BCEL przed wersją 6.13.0 występuje problem z mapowaniem nazw symbolicznych na klasy. BCEL buforuje klasy kontrolowane przez atakującego pod nazwami, które same deklarują, bez walidacji żądanej nazwy, co pozwala na późniejsze odwołania i wyniki weryfikacji oparte na nazwie odnosić się do innej klasy.

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Apache Commons BCEL. This only happens when you're using Class2HTML to generate webpages for possibly-attacker-controlled class files, where Class2HTML emitters write attacker class-file strings into HTML unescaped (stored XSS in reports). This issue affects Apache Commons BCEL: before 6.13.0. Users are recommended to upgrade to version 6.13.0, which fixes the issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS