Iniciar sesión
Deutsch English Español Polski
Crítica

Code injection in Apache Dubbo

  • Publicada: 18.03.2022
  • Actualizado: 11.10.2026 11:21

Apache Dubbo prior to 2.7.9 support Tag routing which will enable a customer to route the request to the right server. These rules are used by the customers when making a request in order to find the right endpoint. When parsing these YAML rules, Dubbo customers may enable calling arbitrary constructors.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.apache.dubbo:dubbo >= 2.7.0, < 2.7.10 2.7.10

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-444, CWE-94
Plataforma
Java / Kotlin (Maven)
Paquete
org.apache.dubbo:dubbo
Publicada
18.03.2022
Actualizado
11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-7wfc-x4f7-gg2x - CC BY 4.0

Historial de vulnerabilidades: org.apache.dubbo:dubbo

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (16) en el archivo
Entradas en total
16
Primera → última
09.2021 12.2023
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 13
  • Alta 1
  • Media 2

Divulgaciones por año

Gravedad:
  1. Bypass serialize checks in Apache Dubbo
    Crítica · 9.8 CVE-2023-29234 >= 3.1.0, < 3.1.11, >= 3.2.0, < 3.2.5 3.1.11, 3.2.5
  2. Apache Dubbo: Bypass deny serialize list check in Apache Dubbo
    Crítica · 9.8 CVE-2023-46279 >= 3.1.5, < 3.1.6 3.1.6
  3. Apache Dubbo vulnerable to Deserialization of Untrusted Data
    Crítica · 9.8 CVE-2023-23638 < 2.7.22, >= 3.0.0, < 3.0.13, >= 3.1.0, < 3.1.5 2.7.22, 3.0.13, 3.1.5
  4. Hessian Lite for Apache Dubbo deserialization vulnerability
    Crítica · 9.8 CVE-2022-39198 >= 2.7.0, < 2.7.18, >= 3.0.0, < 3.0.12, >= 3.1.0, < 3.1.1 2.7.18, 3.0.12, 3.1.1
  5. Code injection in Apache Dubbo esta entrada
    Crítica · 9.8 CVE-2021-30180 >= 2.7.0, < 2.7.10 2.7.10
  6. Deserialization of Untrusted Data in Apache Dubbo
    Crítica · 9.8 CVE-2021-30179 >= 2.5.0, < 2.7.10 2.7.10
  7. Code injection in Apache Dubbo
    Crítica · 9.8 CVE-2021-30181 >= 2.5.0, < 2.7.10 2.7.10
  8. Deserializer tampering in Apache Dubbo
    Crítica · 9.8 CVE-2021-25641 >= 2.5.0, < 2.7.8 2.7.8
  9. Deserialization of Untrusted Data in Apache Dubbo
    Crítica · 9.8 CVE-2020-1948 < 2.7.7 2.7.7
  10. Deserialization of Untrusted Data in Dubbo
    Crítica · 9.8 CVE-2021-43297 >= 2.6.0, < 2.6.12, >= 2.7.0, < 2.7.15, >= 3.0.0, < 3.0.5 2.6.12, 2.7.15, 3.0.5
  11. Security check skip in Apache Dubbo
    Crítica · 9.8 CVE-2021-37579 < 2.7.13, >= 3.0.0, < 3.0.2 2.7.13, 3.0.2
  12. Remote Code Execution in Apache Dubbo
    Crítica · 9.8 CVE-2021-36161 < 2.7.13 2.7.13
  13. Remote Code Execution in Apache Dubbo
    Alta · 8.8 CVE-2021-36162 < 2.7.13, >= 3.0.0, < 3.0.2 2.7.13, 3.0.2
  14. Hessian protocol configuration vulnerability in Apache Dubbo
    Crítica · 9.8 CVE-2021-36163 >= 2.7.0, < 2.7.13, < 2.6.10.1 2.7.13, 2.6.10.1

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.