CVE-2020-13942

حرجةتم النشر

تنفيذ التعليمات البرمجية عن بُعد في Apache Unomi

تم النشر: 24‏/11‏/2020
محدث: 13‏/02‏/2025
تخصيص CNA: apache
الأدلة المرصودة: 08‏/08‏/2026

CVSS الأساسي

9.8/ 10حرجة

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

تقدير احتمالية EPSS

68.3‎%‎

مرتفع · الثلاثين يومًا القادمة

المئوية: 99.3‎%‎
تاريخ الموديل: 17‏/10‏/2026

EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.

ملخص

من الممكن حقن سكربتات OGNL أو MVEL الخبيثة في نقطة النهاية العامة /context.json. تم إصلاح هذا الأمر جزئيًا في الإصدار 1.5.1، ولكن تم اكتشاف ناقل هجوم جديد. في Apache Unomi الإصدار 1.5.2، تتم الآن تصفية السكربتات بالكامل من المدخلات. يُنصح بشدة بالترقية إلى أحدث إصدار متاح من إصدارات 1.5.x لإصلاح هذه المشكلة.

المصادر

أدلة المستودعات: الملفات: 2 · المستودعات: 2

1 قالب1 مختبر

Apache Unomi Expression Language Injection RCEمختبر
unomi/CVE-2020-13942
Apache Unomi Expression Language Injection RCE (CVE-2020-13942)
Vulhub vulnerability labs
البحثالأدلة المرصودة: 25‏/09‏/2026مراجعة: 9b90d4276f84أداة ذات صلة
الشروط المعلنة
- lab image version: vulhub/unomi:1.5.1(unomi/CVE-2020-13942/docker-compose.yml:services.web.image)
- lab image version: elasticsearch:7.9.3(unomi/CVE-2020-13942/docker-compose.yml:services.elasticsearch.image)
Apache Unomi <1.5.2 - Remote Code Executionقالب
http/cves/2020/CVE-2020-13942.yaml
Nuclei Templates
الكشفالأدلة المرصودة: 26‏/09‏/2026مراجعة: 17f5725dc10cأداة ذات صلة
الشروط المعلنة
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)

الاستخدام المسؤول

استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.