CVE-2010-3863
Apache Shiro 1.1.0 से पहले, और JSecurity 0.9.x, shiro.ini फ़ाइल में प्रविष्टियों से तुलना करने से पहले URI पथों को canonicalize नहीं करता है, जो दूरस्थ हमलावरों को एक क्राफ्टेड अनुरोध के माध्यम से इच्छित एक्सेस...
- प्रकाशित
- 5 नव॰ 2010
- अद्यतन
- 7 अग॰ 2024
- सीएनए असाइन करना
- redhat
- साक्ष्य देखे गए
- 2 नव॰ 2010
प्राथमिक सीवीएसएस
nvd · CVSS 2.0
AV:N/AC:L/Au:N/C:P/I:N/A:Nउच्च · अगले 30 दिन
- प्रतिशत
- 99.0%
- मॉडल दिनांक
- 13 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Shiro 1.1.0 से पहले, और JSecurity 0.9.x, shiro.ini फ़ाइल में प्रविष्टियों से तुलना करने से पहले URI पथों को canonicalize नहीं करता है, जो दूरस्थ हमलावरों को एक क्राफ्टेड अनुरोध के माध्यम से इच्छित एक्सेस प्रतिबंधों को बायपास करने की अनुमति देता है, जैसा कि /./account/index.jsp URI द्वारा प्रदर्शित किया गया है।
स्रोत
shiro/CVE-2010-3863
Apache Shiro Authentication Bypass Vulnerability (CVE-2010-3863)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/shiro:1.0.0(shiro/CVE-2010-3863/docker-compose.yml:services.web.image)
shiro पाथ ट्रैवर्सल
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।