CVE-2021-22053
التطبيقات التي تستخدم كلاً من spring-cloud-netflix-hystrix-dashboard و spring-boot-starter-thymeleaf توفّر طريقةً لتنفيذ كود يتم إرساله داخل مسار عنوان طلب URI...
- تم النشر
- 19/11/2021
- محدث
- 03/08/2024
- تخصيص CNA
- vmware
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمتوسط · الثلاثين يومًا القادمة
- المئوية
- 96.3%
- تاريخ الموديل
- 18/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
التطبيقات التي تستخدم كلاً من `spring-cloud-netflix-hystrix-dashboard` و `spring-boot-starter-thymeleaf` توفّر طريقةً لتنفيذ كود يتم إرساله داخل مسار عنوان طلب URI أثناء عملية حل قوالب العرض (view templates). عندما يتم إرسال طلب إلى `/hystrix/monitor;[user-provided data]`، يتم تقييم عناصر المسار التي تلي `hystrix/monitor` كتعبيرات SpringEL، مما قد يؤدي إلى تنفيذ كود.
المصادر
http/cves/2021/CVE-2021-22053.yaml
Nuclei Templatesالشروط المعلنة
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
CVE-2021-22053: ثغرة في تحليل قالب لوحة تحكم Spring Cloud Netflix Hystrix
Spring Cloud Netflix Hystrix Dashboard ثغرة حل القالب CVE-2021-22053
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.