CVE-2020-17518

ВысокийОпубликовано

Атака с обходом каталогов в Apache Flink: удалённая запись файлов через REST API

Опубликовано: 5 янв. 2021 г.
Обновлено: 13 февр. 2025 г.
Назначение CNA: apache
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

7,5/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Оценка вероятности EPSS

51,4 %

Высокий · следующие 30 дней

Процентиль: 98,9 %
Дата модели: 16 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

Apache Flink 1.5.1 представил REST-обработчик, который позволяет записать загруженный файл в произвольное место в локальной файловой системе через злонамеренно изменённый HTTP HEADER. Файлы могут быть записаны в любое место, доступное Flink 1.5.1. Всем пользователям следует обновиться до Flink 1.11.3 или 1.12.0, если их экземпляры Flink доступны извне. Проблема была исправлена в коммите a5264a6f41524afe8ceadf1d8ddc8c80f323ebc4 из apache/flink:master.

Источники

Данные репозиториев: Файлы: 2 · Репозитории: 2

1 Шаблон1 Лаборатория

Apache Flink Upload Path TraversalЛаборатория
flink/CVE-2020-17518
Apache Flink Upload Path Traversal (CVE-2020-17518)
Vulhub vulnerability labs
ИсследованияНаблюдены доказательства: 25 сент. 2026 г.Ревизия: 8fd63916f7a8Связанный инструмент
Заявленные условия
- lab image version: vulhub/flink:1.11.2(flink/CVE-2020-17518/docker-compose.yml:services.flink.image)
Apache Flink 1.5.1 - Local File InclusionШаблон
http/cves/2020/CVE-2020-17518.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 17f5725dc10cСвязанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: dsl($.matchers[*].type)

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.