CVE-2021-21345

CritiquePublié

XStream est vulnérable à une attaque d'exécution de commande à distance.

Publié: 22 mars 2021
Mise à jour: 3 août 2024
Attribution de CNA: GitHub_M
Preuve observée: 8 août 2026

CVSS primaire

9,9/ 10Critique

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Estimation de probabilité EPSS

72,3 %

Élevé · 30 prochains jours

Percentile: 99,4 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

XStream est une bibliothèque Java permettant de sérialiser des objets en XML et inversement. Dans XStream, avant la version 1.4.16, il existe une vulnérabilité qui peut permettre à un attaquant distant disposant de droits suffisants d'exécuter des commandes sur l'hôte uniquement en manipulant le flux d'entrée traité. Aucun utilisateur n'est concerné s'il a suivi la recommandation de configurer le cadre de sécurité de XStream avec une liste blanche limitée aux types minimalement requis. Si vous vous fiez à la liste noire par défaut du cadre de sécurité de XStream, vous devrez utiliser au moins la version 1.4.16.

Sources

x-stream__xstream_CVE-2021-21345_1-4-15Recherche
Bibliothèque de sérialisation XML en Java, axée sur l'analyse de l'exploit CVE-2021-21345 et les tests de vulnérabilité de désérialisation pour les applications web.

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.