CVE-2019-12406

Опубликовано: 06 нояб. 2019

Источник: nvd

CVSS3: 6.5

CVSS2: 4.3

EPSS Низкий

Описание

Apache CXF before 3.3.4 and 3.2.11 does not restrict the number of message attachments present in a given message. This leaves open the possibility of a denial of service type attack, where a malicious user crafts a message containing a very large number of message attachments. From the 3.3.4 and 3.2.11 releases, a default limit of 50 message attachments is enforced. This is configurable via the message property "attachment-max-count".

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*

Версия до 3.2.11 (исключая)

cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*

Версия от 3.3.0 (включая) до 3.3.4 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:oracle:commerce_guided_search:11.3.2:*:*:*:*:*:*:*

cpe:2.3:a:oracle:flexcube_private_banking:12.0.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:flexcube_private_banking:12.1.0:*:*:*:*:*:*:*

cpe:2.3:a:oracle:retail_order_broker:15.0:*:*:*:*:*:*:*

EPSS

Процентиль: 88%

0.04134

Низкий

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-770

Связанные уязвимости

CVE-2019-12406

CVSS3: 6.5

redhat

больше 6 лет назад

GHSA-58p8-9g59-q2hr

CVSS3: 6.5

github

около 6 лет назад

Potential DOS attack due to unrestricted attachment count in messages

BDU:2020-00969

CVSS3: 6.5

fstec

около 6 лет назад

Уязвимость каркаса для веб-сервисов Apache CXF, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в обслуживании

EPSS

Процентиль: 88%

0.04134

Низкий

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-770