> dropwizard-validation 注入漏洞

dropwizard-validation 注入漏洞

CNNVD-ID编号	CNNVD-202004-598	CVE编号	CVE-2020-11002
发布时间	2020-04-10	更新时间	2020-04-14
漏洞类型	注入	漏洞来源	N/A
危险等级	高危	威胁类型	远程
厂商	N/A

漏洞介绍

dropwizard-validation是一款支持构建可用于生产环境的RESTful Web服务的库。

dropwizard-validation 2.0.3之前版本和1.3.21之前版本中存在注入漏洞。攻击者可利用该漏洞注入任意的Java EL表达式，进而执行代码。

漏洞补丁

目前厂商已发布升级了dropwizard-validation 注入漏洞的补丁，dropwizard-validation 注入漏洞的补丁获取链接：

https://github.com/dropwizard/dropwizard/security/advisories/GHSA-8jpx-m2wh-2v34

参考网址

来源:MISC

链接：https://github.com/dropwizard/dropwizard/security/policy#reporting-a-vulnerability

来源:CONFIRM

链接：https://github.com/dropwizard/dropwizard/security/advisories/GHSA-8jpx-m2wh-2v34

来源:MISC

链接：https://docs.jboss.org/hibernate/validator/6.1/reference/en-US/html_single/#section-hibernateconstraintvalidatorcontext

来源:MISC

链接：https://github.com/dropwizard/dropwizard/commit/d5a512f7abf965275f2a6b913ac4fe778e424242

来源:MISC

链接：https://github.com/dropwizard/dropwizard/security/advisories/GHSA-3mcp-9wr4-cjqf

来源:MISC

链接：https://github.com/dropwizard/dropwizard/pull/3208

来源:MISC

链接：https://github.com/dropwizard/dropwizard/pull/3209

受影响实体

暂无

信息来源

http://www.cnnvd.org.cn/web/xxk/ldxqById.tag?CNNVD=CNNVD-202004-598