CVE-2021-29505
XStream दूरस्थ कमांड निष्पादन हमले के प्रति संवेदनशील है
- प्रकाशित
- 28 मई 2021
- अद्यतन
- 7 अक्टू॰ 2026
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.6%
- मॉडल दिनांक
- 18 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
XStream जावा ऑब्जेक्ट्स को XML में और वापस सीरियलाइज़ करने का सॉफ़्टवेयर है। XStream के 1.4.17 से पहले के संस्करणों में एक भेद्यता एक दूरस्थ हमलावर को, जिसके पास पर्याप्त अधिकार हैं, केवल प्रोसेस्ड इनपुट स्ट्रीम में हेरफेर करके होस्ट के कमांड निष्पादित करने की अनुमति दे सकती है। कोई भी उपयोगकर्ता जिसने न्यूनतम आवश्यक प्रकारों तक सीमित व्हाइटलिस्ट के साथ XStream के सुरक्षा फ्रेमवर्क को स्थापित करने की अनुशंसा का पालन किया है, प्रभावित नहीं होता है। यह भेद्यता संस्करण 1.4.17 में पैच की गई है।
स्रोत
xstream/CVE-2021-29505
XStream Deserialization Remote Command Execution (CVE-2021-29505)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/xstream:1.4.16(xstream/CVE-2021-29505/docker-compose.yml:services.web.image)
http/cves/2021/CVE-2021-29505.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।