CVE-2022-23221
H2 Console 2.1.210 से पहले के संस्करण में दूरस्थ हमलावरों को jdbc:h2:mem JDBC URL के माध्यम से मनमाना कोड निष्पादित करने की अनुमति मिलती है, जिसमें...
- प्रकाशित
- 19 जन॰ 2022
- अद्यतन
- 5 मई 2025
- सीएनए असाइन करना
- mitre
- साक्ष्य देखे गए
- 27 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.2%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
# H2 Console 2.1.210 से पहले के संस्करण में दूरस्थ हमलावरों को jdbc:h2:mem JDBC URL के माध्यम से मनमाना कोड निष्पादित करने की अनुमति मिलती है, जिसमें IGNORE_UNKNOWN_SETTINGS=TRUE;FORBID_CREATION=FALSE;INIT=RUNSCRIPT सबस्ट्रिंग शामिल है, यह CVE-2021-42392 से भिन्न एक कमजोरी है।
स्रोत
h2database/CVE-2022-23221
H2 Database Web Console Pre-Auth JDBC Attack RCE (CVE-2022-23221)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/spring-with-h2database:2.0.206(h2database/CVE-2022-23221/docker-compose.yml:services.web.image)
vulhub/H2-database/CVE-2022-23221
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।