CVE-2022-46364

गंभीरप्रकाशित

Apache CXF SSRF भेद्यता

प्रकाशित: 13 दिस॰ 2022
अद्यतन: 22 अप्रैल 2025
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 8 अग॰ 2026

प्राथमिक सीवीएसएस

9.8/ 10गंभीर

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

2.3%

कम · अगले 30 दिन

प्रतिशत: 83.1%
मॉडल दिनांक: 17 अक्टू॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Apache CXF के 3.5.5 और 3.4.10 से पहले के संस्करणों में MTOM अनुरोधों में XOP:Include की href विशेषता को पार्स करने में एक SSRF भेद्यता, एक हमलावर को किसी भी प्रकार का कम से कम एक पैरामीटर लेने वाली वेबसेवाओं पर SSRF शैली के हमले करने की अनुमति देती है।

स्रोत

CVE-2022-46364PoC
CVE-2022-46364 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक Apache CXF SSRF भेद्यता जो कि क्राफ्टेड MTOM/XOP SOAP अनुरोधों के माध्यम से मनमानी फ़ाइल पढ़ने और आंतरिक नेटवर्क प्रोबिंग को सक्षम बनाती है।
CVE-2022-46364-Proof-of-the-conceptएक्सप्लॉइट
यह भेद्यता एक हमलावर को Apache CXF वेबसेवाओं पर SSRF (सर्वर-साइड रिक्वेस्ट फोर्जरी) हमले करने की अनुमति देती है जो MTOM/XOP अनुरोधों को स्वीकार करती हैं। समस्या xop:Include के href विशेषता को पार्स करने के तरीके में मौजूद है, जिससे सर्वर द्वारा मनमाने URL का अनुरोध किया जा सकता है।
CVE-2022-46364-htb-ctfएक्सप्लॉइट
CVE-2022-46364 का Apache CXF 3.2.14 में MTOM/XOP इंजेक्शन के माध्यम से LFI और SSRF के लिए शोषण। HTB CTF वातावरण के लिए स्वचालित मल्टीपार्ट निर्माण और Base64 निष्कर्षण।
CVE-2022-46364-Pocएक्सप्लॉइट
CVE-2022-46364 (Apache CXF SSRF via MTOM XOP:Include) के लिए Python एक्सप्लॉइट। कमजोर एंडपॉइंट्स से आंतरिक मेटाडेटा, क्रेडेंशियल्स और माइक्रोसर्विस डेटा को बाहर निकालने के लिए तैयार SOAP अनुरोध भेजता है।
CVE-2022-46364---Apache-CXF-XOP-Include-LFI-PoCPoC
CVE-2022-46364 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Apache CXF में SOAP अनुरोधों में निर्मित XOP Include तत्वों के माध्यम से एक स्थानीय फ़ाइल समावेशन भेद्यता, जो मनमानी फ़ाइल पढ़ने की अनुमति देती है।

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।

सारांश

स्रोत

CVE-2022-46364PoC

CVE-2022-46364 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक Apache CXF SSRF भेद्यता जो कि क्राफ्टेड MTOM/XOP SOAP अनुरोधों के माध्यम से मनमानी फ़ाइल पढ़ने और आंतरिक नेटवर्क प्रोबिंग को सक्षम बनाती है।

CVE-2022-46364-Proof-of-the-conceptएक्सप्लॉइट

यह भेद्यता एक हमलावर को Apache CXF वेबसेवाओं पर SSRF (सर्वर-साइड रिक्वेस्ट फोर्जरी) हमले करने की अनुमति देती है जो MTOM/XOP अनुरोधों को स्वीकार करती हैं। समस्या xop:Include के href विशेषता को पार्स करने के तरीके में मौजूद है, जिससे सर्वर द्वारा मनमाने URL का अनुरोध किया जा सकता है।

CVE-2022-46364-htb-ctfएक्सप्लॉइट

CVE-2022-46364 का Apache CXF 3.2.14 में MTOM/XOP इंजेक्शन के माध्यम से LFI और SSRF के लिए शोषण। HTB CTF वातावरण के लिए स्वचालित मल्टीपार्ट निर्माण और Base64 निष्कर्षण।

CVE-2022-46364-Pocएक्सप्लॉइट

CVE-2022-46364 (Apache CXF SSRF via MTOM XOP:Include) के लिए Python एक्सप्लॉइट। कमजोर एंडपॉइंट्स से आंतरिक मेटाडेटा, क्रेडेंशियल्स और माइक्रोसर्विस डेटा को बाहर निकालने के लिए तैयार SOAP अनुरोध भेजता है।

CVE-2022-46364---Apache-CXF-XOP-Include-LFI-PoCPoC

CVE-2022-46364 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, Apache CXF में SOAP अनुरोधों में निर्मित XOP Include तत्वों के माध्यम से एक स्थानीय फ़ाइल समावेशन भेद्यता, जो मनमानी फ़ाइल पढ़ने की अनुमति देती है।

जिम्मेदारीपूर्ण उपयोग