CVE-2019-0207

高已发布

Tapestry 处理 /assets/ctx 资源时使用类链 StaticFilesFilter -> AssetDispatcher -> ContextResource，该链未对字符 \ 进行过滤，因此攻击者可以执行路径遍历攻击，在 Windows 平台上读取任意文件。

初级CVSS

7.5/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

EPSS概率估计

3.1%

低 · 未来 30 天

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

Tapestry 处理 `/assets/ctx` 资源时使用类链 `StaticFilesFilter -> AssetDispatcher -> ContextResource`，该链未对字符 `\` 进行过滤，因此攻击者可以执行路径遍历攻击，在 Windows 平台上读取任意文件。

asf__tapestry-5_CVE-2019-0207_5-4-4PoC
Apache Tapestry 5.4.4 中 CVE-2019-0207 的概念验证漏洞利用程序，演示了利用反序列化漏洞实现远程代码执行。

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。