Spring Data MongoDB अनुप्रयोग SpEL इंजेक्शन के प्रति संवेदनशील है जब @Query या @Aggregation-एनोटेटेड क्वेरी विधियों का उपयोग SpEL एक्सप्रेशन के साथ किया जाता है जिनमें मान बाइंडिंग के लिए क्वेरी पैरामीटर प्लेसहोल्डर होते हैं,...
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
Spring Data MongoDB अनुप्रयोग SpEL इंजेक्शन के प्रति संवेदनशील है जब @Query या @Aggregation-एनोटेटेड क्वेरी विधियों का उपयोग SpEL एक्सप्रेशन के साथ किया जाता है जिनमें मान बाइंडिंग के लिए क्वेरी पैरामीटर प्लेसहोल्डर होते हैं, यदि इनपुट सैनिटाइज़ नहीं किया गया है।
CVE-2022-22980 का शोषण
[CVE-2022-22980] Spring Data MongoDB SpEL एक्सप्रेशन इंजेक्शन
CVE-2022-22980 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो Spring Data MongoDB में username पैरामीटर में SpEL इंजेक्शन के माध्यम से रिमोट कोड एक्ज़ीक्यूशन भेद्यता है।
# CVE-2022-22980 (Spring Data MongoDB SpEL इंजेक्शन) के लिए Dockerized PoC वातावरण, जिसमें क्राफ्टेड HTTP अनुरोधों के माध्यम से रिमोट कोड निष्पादन प्रदर्शित करने वाला एक कार्यशील एक्सप्लॉइट शामिल है।
# CVE-2022-22980 (Spring Data MongoDB SpEL इंजेक्शन RCE) के लिए डेमो वातावरण, जिसमें सुरक्षा परीक्षण और शिक्षा हेतु कमजोर एप्लिकेशन कोड शामिल है।
CVE-2022-22980 को लक्षित करने वाला Spring Data MongoDB के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट। विशेष रूप से तैयार किए गए MongoDB क्वेरीज़ के माध्यम से रिमोट कोड निष्पादन का प्रदर्शन करता है। स्थानीय MongoDB इंस्टेंस की आवश्यकता है।
स्प्रिंग डेटा मोंगोडीबी रिमोट कोड एक्सेक्यूशन | cve-2022-22980 poc
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।