CVE-2026-75414

KrytyczneCVSS 9.8

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.46%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

W AntFlow V2.0.0, ActivitiTest.java umożliwia użytkownikom wykonywanie wyrażeń JUEL bez filtrowania danych wejściowych, co prowadzi do podatności na wykonanie poleceń.

Ocena ryzyka

Atakujący może wykonać dowolne polecenia na serwerze, co może prowadzić do pełnej kompromitacji systemu, w tym kradzieży danych lub instalacji złośliwego oprogramowania.

Rekomendacja

Należy filtrować i sanityzować dane wejściowe przed przekazaniem do wyrażeń JUEL oraz ograniczyć dostęp do funkcji wykonujących te wyrażenia.

Inne podatności w AntFlow

CVE-2026-75415Wysokie
AntFlow V2.0.0 jest podatny na nieprawidłową kontrolę dostępu. JiMuMDCCommonsRequestLoggingFilter.java pobiera userid z nagłówka żądania jako podstawę mechanizmu weryfikacji tożsamości, co pozwala atakującym na sfałszowanie dowolnych danych uwierzytelniających tożsamość użytkownika, powodując wyciek wrażliwych informacji.

Oryginalny opis (angielski, źródło NVD)

In AntFlow V2.0.0, ActivitiTest.java enables users to execute JUEL expressions without filtering the user input, which leads to a command execution vulnerability.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS