CVE-2018-1304: نمط عنوان URL لـ "" (السلسلة الفارغة) الذي يطابق تمامًا جذر السياق لم تتم معالجته بشكل صحيح في Apache Tomcat 9.0.0.M1 إلى 9.0.4، و8.5.0 إلى 8.5.27،... | Kitploit

CVE-2018-1304

متوسطتم النشر

نمط عنوان URL لـ "" (السلسلة الفارغة) الذي يطابق تمامًا جذر السياق لم تتم معالجته بشكل صحيح في Apache Tomcat 9.0.0.M1 إلى 9.0.4، و8.5.0 إلى 8.5.27،...

تم النشر: 28‏/02‏/2018
محدث: 17‏/09‏/2024
تخصيص CNA: apache
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

5.9/ 10متوسط

nvd · CVSS 3.0

CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

تقدير احتمالية EPSS

15.3‎%‎

متوسط · الثلاثين يومًا القادمة

المئوية: 96.7‎%‎
تاريخ الموديل: 21‏/09‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

نمط عنوان URL لـ "" (السلسلة الفارغة) الذي يطابق تمامًا جذر السياق لم تتم معالجته بشكل صحيح في Apache Tomcat 9.0.0.M1 إلى 9.0.4، و8.5.0 إلى 8.5.27، و8.0.0.RC1 إلى 8.0.49، و7.0.0 إلى 7.0.84 عند استخدامه كجزء من تعريف قيد أمني. تسبب هذا في تجاهل القيد. وبالتالي، كان من الممكن للمستخدمين غير المصرح لهم الوصول إلى موارد تطبيق الويب التي كان ينبغي حمايتها. فقط القيود الأمنية ذات نمط عنوان URL للسلسلة الفارغة هي التي تأثرت.

المصادر

CVE-2018-1304PoC
استغلال إثبات المفهوم لـ CVE-2018-1304، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد في Apache Struts2. يُظهر استغلال التحقق غير السليم من الإدخال في ملحق REST.
tomcat_CVE-2018-1304_testingPoC
استغلال إثبات المفهوم لـ Apache Tomcat CVE-2018-1304، يوضح تنفيذ التعليمات البرمجية عن بُعد عبر طلبات HTTP مُصمّمة بعناية لاختبار الأمان والتحقق من الثغرات الأمنية.

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.