CVE-2026-82384
Apache Roller: XML-RPC एंडपॉइंट में अनधिप्रमाणित डीसेरियलाइज़ेशन
- प्रकाशित
- 28 सित॰ 2026
- अद्यतन
- 29 सित॰ 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 62.8%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Apache Roller 6.1.5 में अनट्रस्टेड डेटा का डीसेरियलाइज़ेशन एक अनऑथेंटिकेटेड रिमोट हमलावर को हमलावर-नियंत्रित बाइट्स का डीसेरियलाइज़ेशन करने की अनुमति देता है, क्योंकि XML-RPC एंडपॉइंट वेंडर एक्सटेंशन प्रकारों को स्वीकार करता है जिन्हें अनुरोध पार्सिंग के दौरान, प्रमाणीकरण से पहले डीसेरियलाइज़ किया जाता है। सर्वलेट बिना शर्त मैप किया गया है, इसलिए पार्सिंग तब भी होती है जब वैश्विक XML-RPC सुविधा को अक्षम (disabled) पर सेट किया गया हो; इस पथ के लिए किसी गैर-डिफ़ॉल्ट कॉन्फ़िगरेशन की आवश्यकता नहीं है। यह रिमोट कोड एक्ज़ीक्यूशन को जन्म दे सकता है। उपयोगकर्ताओं को Apache Roller 6.1.6 या उसके बाद के संस्करण में अपग्रेड करने की सलाह दी जाती है, जो एक्सटेंशन प्रकारों को अक्षम करता है और XML-RPC सुविधा अक्षम होने पर अनुरोधों को अस्वीकार करता है।
स्रोत
CVE-2026-82384 के लिए Python PoC: ysoserial पेलोड के माध्यम से Apache Roller 6.1.5 में अनधिकृत XML-RPC Java डीसेरियलाइज़ेशन का पता लगाता और शोषण करता है, साथ ही बल्क स्कैनिंग की सुविधा देता है।
CVE-2026-82384 के लिए Docker लैब और PoC, जो Apache Roller 6.1.5 में एक अनधिप्रमाणित Java डीसेरियलाइज़ेशन RCE है, जिसमें डिटेक्शन और शमन मार्गदर्शन शामिल है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।