CVE-2020-26258

ВысокийОпубликовано

Подделка запроса на стороне сервера может быть активирована при размаршалинге с помощью XStream

Опубликовано: 16 дек. 2020 г.
Обновлено: 7 окт. 2026 г.
Назначение CNA: GitHub_M
Наблюдены доказательства: 8 авг. 2026 г.

Первичный CVSS

7,7/ 10Высокий

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Оценка вероятности EPSS

81,8 %

Высокий · следующие 30 дней

Процентиль: 99,6 %
Дата модели: 15 окт. 2026 г.

EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.

Резюме

XStream — это библиотека Java для сериализации объектов в XML и обратно. В XStream до версии 1.4.15 уязвимость Server-Side Forgery Request может быть активирована при размаршалинге. Уязвимость может позволить удалённому злоумышленнику запрашивать данные из внутренних ресурсов, которые не являются общедоступными, только путём манипулирования обрабатываемым входным потоком. Если вы полагаетесь на стандартный чёрный список Security Framework в XStream, вам придётся использовать как минимум версию 1.4.15. Описанная уязвимость отсутствует при использовании Java 15 или новее. Ни один пользователь, который последовал рекомендации настроить Security Framework XStream с белым списком, не затронут! Любой, кто полагается на стандартный чёрный список XStream, может немедленно переключиться на белый список для разрешённых типов, чтобы избежать уязвимости. Пользователи XStream 1.4.14 или ниже, которые всё ещё хотят использовать стандартный чёрный список XStream, могут воспользоваться обходным решением, описанным более подробно в указанных рекомендациях.

Источники

Данные репозиториев: Файлы: 1 · Репозитории: 1

1 Шаблон

XStream <1.4.15 - Server-Side Request ForgeryШаблон
http/cves/2020/CVE-2020-26258.yaml
Nuclei Templates
ОбнаружениеНаблюдены доказательства: 26 сент. 2026 г.Ревизия: 837b883e85c1Связанный инструмент
Заявленные условия
- network: http($.protocol_keys)
- verification: word($.matchers[*].type)
- oob: interactsh_reference($.template_text)

CVE-2020-26258

Ответственное использование

Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.