CVE-2018-1273
Vulnerabilità VMware Tanzu Spring Data Commons Property Binder
- Pubblicato
- 11 apr 2018
- Aggiornato
- 26 ago 2026
- Assegnazione CNA
- dell
- Evidenza osservata
- 25 mar 2022
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,9%
- Data del modello
- 11 ott 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
CISA noto sfruttato
Questo CVE appare nel catalogo CISA delle vulnerabilità sfruttate note.
Riepilogo
Spring Data Commons, nelle versioni precedenti, da 1.13 a 1.13.10, da 2.0 a 2.0.5, e nelle versioni più vecchie non supportate, contiene una vulnerabilità del property binder causata da una neutralizzazione impropria di elementi speciali. Un utente malintenzionato remoto non autenticato (o attaccante) può fornire parametri di richiesta appositamente predisposti contro le risorse HTTP basate su Spring Data REST, oppure utilizzare il binding del payload di richiesta basato su proiezioni di Spring Data, il che può portare a un attacco di esecuzione di codice remoto.
Fonti
http/cves/2018/CVE-2018-1273.yaml
Nuclei TemplatesCondizioni dichiarate
- network: http($.protocol_keys)
- verification: regex($.matchers[*].type)
- Spring Data Commons Remote Command ExecutionLaboratorio
spring/CVE-2018-1273
Spring Data Commons Remote Code Execution (CVE-2018-1273)
Vulhub vulnerability labsCondizioni dichiarate
- lab image version: vulhub/spring-data-commons:2.0.5(spring/CVE-2018-1273/docker-compose.yml:services.spring.image)
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.