CVE-2018-1321

Опубликовано: 20 мар. 2018

Источник: nvd

CVSS3: 7.2

CVSS2: 6.5

EPSS Низкий

Описание

An administrator with report and template entitlements in Apache Syncope 1.2.x before 1.2.11, 2.0.x before 2.0.8, and unsupported releases 1.0.x and 1.1.x which may be also affected, can use XSL Transformations (XSLT) to perform malicious operations, including but not limited to file read, file write, and code execution.

Ссылки

http://syncope.apache.org/security.html#CVE-2018-1321:_Remote_code_execution_by_administrators_with_report_and_template_entitlements
Mitigation
Vendor Advisory
http://www.securityfocus.com/bid/103508
Third Party Advisory
VDB Entry
https://www.exploit-db.com/exploits/45400/
Third Party Advisory
VDB Entry
http://syncope.apache.org/security.html#CVE-2018-1321:_Remote_code_execution_by_administrators_with_report_and_template_entitlements
Mitigation
Vendor Advisory
http://www.securityfocus.com/bid/103508
Third Party Advisory
VDB Entry
https://www.exploit-db.com/exploits/45400/
Third Party Advisory
VDB Entry

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:apache:syncope:*:*:*:*:*:*:*:*

Версия от 1.2.0 (включая) до 1.2.11 (исключая)

cpe:2.3:a:apache:syncope:*:*:*:*:*:*:*:*

Версия от 2.0.0 (включая) до 2.0.8 (исключая)

cpe:2.3:a:apache:syncope:1.0.0:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.4:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.5:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.6:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.7:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.8:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.0.9:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.0:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.1:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.2:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.3:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.4:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.5:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.6:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.7:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.1.8:*:*:*:*:*:*:*

cpe:2.3:a:apache:syncope:1.2.0:milestone1:*:*:*:*:*:*

EPSS

Процентиль: 91%

0.06394

Низкий

7.2 High

CVSS3

6.5 Medium

CVSS2

Дефекты

CWE-20

Связанные уязвимости

GHSA-xgc9-9w4v-h33h

CVSS3: 7.2

github

больше 7 лет назад

High severity vulnerability that affects org.apache.syncope:syncope-core

BDU:2020-00255

CVSS3: 7.2

fstec

больше 7 лет назад

Уязвимость реализации технологии XSLT (eXtensible Stylesheet Language Transformations) системы для управления цифровыми идентификаторами Apache Syncope, позволяющая нарушителю осуществить чтение файла, запись файла или выполнить произвольный код

EPSS

Процентиль: 91%

0.06394

Низкий

7.2 High

CVSS3

6.5 Medium

CVSS2

Дефекты

CWE-20