CVE-2020-26217
XStream में रिमोट कोड निष्पादन
- प्रकाशित
- 16 नव॰ 2020
- अद्यतन
- 7 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.7%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
XStream संस्करण 1.4.14 से पहले रिमोट कोड निष्पादन के लिए संवेदनशील है। यह भेद्यता किसी दूरस्थ हमलावर को केवल संसाधित इनपुट स्ट्रीम में हेरफेर करके मनमाने शेल कमांड चलाने की अनुमति दे सकती है। केवल वे उपयोगकर्ता प्रभावित होते हैं जो ब्लॉकलिस्ट पर निर्भर हैं। XStream के सुरक्षा ढांचे की अनुमति सूची का उपयोग करने वाला कोई भी व्यक्ति प्रभावित नहीं है। लिंक की गई सलाह उन उपयोगकर्ताओं के लिए कोड समाधान प्रदान करती है जो अपग्रेड नहीं कर सकते। यह समस्या संस्करण 1.4.14 में ठीक कर दी गई है।
स्रोत
http/cves/2020/CVE-2020-26217.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
CVE-2020-26217 && XStream RCE
- CVE-2020-26217-XStreamएक्सप्लॉइट
CVE-2020-26217 XStream डिसीरियलाइज़ेशन का पीओसी
CVE-2020-26217 XStream RCE POC
CVE-2020-26217 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, XStream XML डिसेरियलाइज़ेशन में एक रिमोट कोड निष्पादन कमजोरी। Java अनुप्रयोगों में असुरक्षित डिसेरियलाइज़ेशन के शोषण का प्रदर्शन करता है।
- XStream-1एक्सप्लॉइट
XML क्रमांकन और विपरीत क्रमांकन के लिए जावा लाइब्रेरी, जिसमें CVE-2020-26217 शोषण पर ध्यान केंद्रित है। जावा वस्तुओं को XML और वापस में परिवर्तित करने में सक्षम बनाता है, जो सामान्यतः डिसीरियलाइजेशन कमजोरियों के लिए सुरक्षा परीक्षण में उपयोग किया जाता है।
CVE-2020-26259: XStream में कमजोरी है कि स्थानीय होस्ट पर मनमाना फ़ाइल हटाना (Arbitrary File Deletion) संभव है जब unmarshalling करते समय, जब तक कि निष्पादित प्रक्रिया के पास पर्याप्त अधिकार हों।
Java XML सीरियलाइज़ेशन और डिसीरियलाइज़ेशन के लिए लाइब्रेरी, जिसमें CVE-2020-26217 डिसीरियलाइज़ेशन भेद्यता शोषण पर ध्यान केंद्रित है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।