CVE-2018-14667
Red Hat JBoss RichFaces Framework Expression-Language-Injection-Schwachstelle
- Veröffentlicht
- 06.11.2018
- Aktualisiert
- 21.10.2025
- CNA zuweisen
- redhat
- Beweise beobachtet
- 28.09.2023
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HHoch · nächste 30 Tage
- Perzentil
- 99,5 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
CISA bekanntermaßen ausgenutzt
Dieses CVE erscheint im CISA-Katalog „Known Exploited Vulnerabilities“.
Zusammenfassung
Das RichFaces Framework 3.X bis 3.3.4 ist anfällig für Expression-Language-Injection (EL-Injection) über die UserResource-Ressource. Ein entfernter, nicht authentifizierter Angreifer könnte dies ausnutzen, um beliebigen Code mithilfe einer Kette von Java-serialisierten Objekten über org.ajax4jsf.resource.UserResource$UriData auszuführen.
Quellen
über CVE-2018-14667 aus RichFaces Framework 3.3.4
- RichsploitExploit
Exploitation-Toolkit für RichFaces
- CVE-2018-14667Exploit
Alles über CVE-2018-14667; Von dem, was es ist, bis hin zu seiner erfolgreichen Ausnutzung.
Proof-of-concept-Exploit für CVE-2018-14667, der Java-Deserialisierung in Kombination mit EL-Injection demonstriert, um eine Remote-Code-Ausführung in RichFaces-Anwendungen zu erreichen.
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.