CVE-2020-13942
Apache Unomi में रिमोट कोड निष्पादन
- प्रकाशित
- 24 नव॰ 2020
- अद्यतन
- 13 फ़र॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.3%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
/context.json सार्वजनिक एंडपॉइंट में दुर्भावनापूर्ण OGNL या MVEL स्क्रिप्ट इंजेक्ट करना संभव है। इसे 1.5.1 में आंशिक रूप से ठीक किया गया था, लेकिन एक नया हमला वेक्टर पाया गया। Apache Unomi संस्करण 1.5.2 में स्क्रिप्ट अब इनपुट से पूरी तरह फ़िल्टर कर दी जाती हैं। इस समस्या को ठीक करने के लिए 1.5.x रिलीज़ के नवीनतम उपलब्ध संस्करण में अपग्रेड करने की अत्यधिक अनुशंसा की जाती है।
स्रोत
unomi/CVE-2020-13942
Apache Unomi Expression Language Injection RCE (CVE-2020-13942)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/unomi:1.5.1(unomi/CVE-2020-13942/docker-compose.yml:services.web.image)
- lab image version: elasticsearch:7.9.3(unomi/CVE-2020-13942/docker-compose.yml:services.elasticsearch.image)
http/cves/2020/CVE-2020-13942.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,status,word($.matchers[*].type)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।