CVE-2008-6504

मध्यमप्रकाशित

प्रकाशित: 23 मार्च 2009
अद्यतन: 7 अग॰ 2024
सीएनए असाइन करना: mitre
साक्ष्य देखे गए: 4 नव॰ 2008

प्राथमिक सीवीएसएस

5.0/ 10मध्यम

nvd · CVSS 2.0

AV:N/AC:L/Au:N/C:N/I:P/A:N

ईपीएसएस संभाव्यता अनुमान

36.6%

मध्यम · अगले 30 दिन

प्रतिशत: 98.5%
मॉडल दिनांक: 13 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Apache Struts और अन्य उत्पादों में उपयोग किया जाने वाला OpenSymphony XWork 2.0.x (2.0.6 से पहले) और 2.1.x (2.1.2 से पहले) का ParametersInterceptor, कॉन्टेक्स्ट ऑब्जेक्ट्स के लिए # (पाउंड चिह्न) संदर्भों को उचित रूप से प्रतिबंधित नहीं करता है, जिससे दूरस्थ हमलावर Object-Graph Navigation Language (OGNL) स्टेटमेंट्स निष्पादित कर सकते हैं और सर्वर-साइड कॉन्टेक्स्ट ऑब्जेक्ट्स को संशोधित कर सकते हैं, जैसा कि # वर्ण के लिए \u0023 प्रतिनिधित्व के उपयोग द्वारा प्रदर्शित किया गया है।

स्रोत

XWork < 2.0.11.2 - 'ParameterInterceptor' Class OGNL Security Bypassएक्सप्लॉइट
Meder Kydyraliev · multiple · 4 नव॰ 2008

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।

सारांश

जिम्मेदारीपूर्ण उपयोग