Podatności Apache Cocoon

W Apache Cocoon występuje podatność ujawnienia wrażliwych informacji systemowych nieuprawnionemu podmiotowi. Nieuwierzytelniony użytkownik może uzyskać dostęp do interfejsów diagnostycznych, w tym wyzwalać pamięć podręczną oraz ujawniać szczegółowe logi debugowania i informacje profilowe. Projekt został wycofany i nie planuje się wydania poprawki.

Podatność w Apache Cocoon polega na używaniu pamięci podręcznej zawierającej poufne informacje. W aplikacjach wieloużytkownikowych wartości z pamięci podręcznej jednego użytkownika mogą być wykorzystane przy obsłudze treści dla innych użytkowników.

Podatność w Apache Cocoon polega na niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (SQL injection). Brak sanityzacji danych wejściowych umożliwia dowolną iniekcję SQL poprzez procesor SQL lub logicsheets sql:/esql:.

Podatność w Apache Cocoon polega na niewłaściwym ograniczaniu rekurencyjnych odwołań do encji w DTD (rozszerzanie encji XML). XEE w procesorze formularzy fp: może prowadzić do SSRF, w tym ujawnienia plików z serwera do niezaufanego systemu zewnętrznego.