CVE-2022-22980

Опубликовано: 23 июн. 2022

Источник: nvd

CVSS3: 9.8

CVSS2: 6.8

EPSS Высокий

Описание

A Spring Data MongoDB application is vulnerable to SpEL Injection when using @Query or @Aggregation-annotated query methods with SpEL expressions that contain query parameter placeholders for value binding if the input is not sanitized.

Ссылки

https://tanzu.vmware.com/security/cve-2022-22980
Mitigation
Vendor Advisory
https://tanzu.vmware.com/security/cve-2022-22980
Mitigation
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:vmware:spring_data_mongodb:*:*:*:*:*:*:*:*

Версия до 3.3.4 (включая)

cpe:2.3:a:vmware:spring_data_mongodb:3.4.0:*:*:*:*:*:*:*

EPSS

Процентиль: 99%

0.85505

Высокий

9.8 Critical

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-917

Связанные уязвимости

CVE-2022-22980

CVSS3: 9.8

redhat

больше 3 лет назад

GHSA-w24x-87mr-4r23

CVSS3: 9

github

больше 3 лет назад

SpEL Injection in Spring Data MongoDB

BDU:2022-03714

CVSS3: 9.8

fstec

больше 3 лет назад

Уязвимость программного обеспечения для унификации и упрощения доступа к базам данных Spring Data MongoDB, связанная с ошибками при обработке SpEL-выражений, позволяющая нарушителю выполнить произвольный код

EPSS

Процентиль: 99%

0.85505

Высокий

9.8 Critical

CVSS3

6.8 Medium

CVSS2

Дефекты

CWE-917