jrecms springbootcms 对消息或数据结构的处理不恰当

CVE编号

CVE-2022-4282

利用情况

暂无

补丁情况

N/A

披露时间

2022-12-05

漏洞描述

A vulnerability was found in SpringBootCMS and classified as critical. Affected by this issue is some unknown functionality of the component Template Management. The manipulation leads to injection. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. VDB-214790 is the identifier assigned to this vulnerability.

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/Ha0Liu/cveAdd/blob/developer/JreCMS%20template%20injection...
https://vuldb.com/?id.214790

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	应用	jrecms	springbootcms	-	-
	运行在以下环境
	系统	amazon_2	webkitgtk4	*		Up to (excluding) 2.38.5-3.amzn2.0.1
	运行在以下环境
	系统	anolis_os_8	webkit2gtk3	*		Up to (excluding) 2.38.5-1.0.1
	运行在以下环境
	系统	centos_8	webkit2gtk3-debugsource	*		Up to (excluding) 2.38.5-1.el8
	运行在以下环境
	系统	fedora_35	webkit2gtk3	*		Up to (excluding) 2.38.2-1.fc35
	运行在以下环境
	系统	fedora_36	webkit2gtk3	*		Up to (excluding) 2.38.2-1.fc36
	运行在以下环境
	系统	fedora_37	javascriptcoregtk4.1-devel	*		Up to (excluding) 2.38.2-1.fc37
	运行在以下环境
	系统	opensuse_Leap_15.3	libjavascriptcoregtk-4_0	*		Up to (excluding) 2.38.2-150200.54.2
	运行在以下环境
	系统	opensuse_Leap_15.4	libwebkit2gtk3-lang	*		Up to (excluding) 0-2.38.2-150400.4.22.1
	运行在以下环境
	系统	oracle_8	oraclelinux-release	*		Up to (excluding) 2.38.5-1.el8
	运行在以下环境
	系统	oracle_9	oraclelinux-release	*		Up to (excluding) 2.38.5-1.el9
	运行在以下环境
	系统	redhat_8	webkit2gtk3-debugsource	*		Up to (excluding) 2.38.5-1.el8
	运行在以下环境
	系统	redhat_9	webkit2gtk3	*		Up to (excluding) 2.38.5-1.el9
	运行在以下环境
	系统	suse_12_SP5	libjavascriptcoregtk-4_0	*		Up to (excluding) 2.38.2-2.120.1

CVSS3评分 7.2

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 高
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 高
• 完整性 高

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

CWE-ID	漏洞类型
CWE-707	对消息或数据结构的处理不恰当
CWE-74	输出中的特殊元素转义处理不恰当（注入）

Exp相关链接

- avd.aliyun.com