Alta

Command injection in Apache Sling

Publicada: 14.02.2023
Actualizado: 11.10.2026 11:21

Apache Sling JCR Base < 3.1.12 has a critical injection vulnerability when running on old JDK versions (JDK 1.8.191 or earlier) through utility functions in RepositoryAccessor. The functions getRepository and getRepositoryFromURL allow an application to access data stored in a remote location via JDNI and RMI. Users of Apache Sling JCR Base are recommended to upgrade to Apache Sling JCR Base 3.1.12 or later, or to run on a more recent JDK.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	org.apache.sling:org.apache.sling.jcr.base	< 3.1.12	3.1.12

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-74
Plataforma: Java / Kotlin (Maven)
Paquete: org.apache.sling:org.apache.sling.jcr.base
Publicada: 14.02.2023
Actualizado: 11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-gvg3-83q4-rfhq - CC BY 4.0

Historial de vulnerabilidades: org.apache.sling:org.apache.sling.jcr.base

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Esta es la única vulnerabilidad conocida de este paquete.

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación