Zaloguj się
Deutsch English Español Polski
Wysoka

Apache OpenMeetings allows remote attackers to read arbitrary files by attempting to upload a file

  • Ujawniono: 14.05.2022
  • Aktualizacja: 11.10.2026 11:20

The (1) FileService.importFileByInternalUserId and (2) FileService.importFile SOAP API methods in Apache OpenMeetings before 3.1.1 improperly use the Java URL class without checking the specified protocol handler, which allows remote attackers to read arbitrary files by attempting to upload a file.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.openmeetings:openmeetings-parent < 3.1.1 3.1.1

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Słabość (CWE)
CWE-200
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.openmeetings:openmeetings-parent
Ujawniono
14.05.2022
Aktualizacja
11.10.2026 11:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-f6vf-465r-h42p - CC BY 4.0

Historia podatności: org.apache.openmeetings:openmeetings-parent

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (25) w archiwum
Wszystkich wpisów
25
Pierwsza → ostatnia
06.2021 04.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 5
  • Wysoka 14
  • Średnia 6

Ujawnienia w latach

Istotność:
  1. Apache OpenMeetings Uses GET Request Method With Sensitive Query Strings
    Wysoka · 7.5 CVE-2026-34020 >= 3.1.3, < 9.0.0 9.0.0
  2. Apache OpenMeetings Uses Hard-coded Cryptographic Key
    Wysoka · 7.5 CVE-2026-33266 >= 6.1.0, < 9.0.0 9.0.0
  3. Apache OpenMeetings vulnerable to Deserialization of Untrusted Data
    Krytyczna CVE-2024-54676 >= 2.1.0, < 8.0.0 8.0.0
  4. Apache OpenMeetings Improper Authentication vulnerability
    Wysoka · 8.1 CVE-2023-29032 >= 3.1.3, < 7.1.0 7.1.0
  5. Apache OpenMeetings vulnerable to remote code execution via null-bye injection
    Wysoka · 7.2 CVE-2023-29246 >= 2.0.0, < 7.1.0 7.1.0
  6. Apache OpenMeetings missing authentication and can allow user impersonation
    Krytyczna · 9.8 CVE-2023-28326 >= 2.0.0, < 7.0.0 7.0.0
  7. Apache OpenMeetings displays Tomcat version and detailed error stack trace
    Wysoka · 7.5 CVE-2017-7683 >= 1.0.0, < 3.3.0 3.3.0
  8. Apache OpenMeetings vulnerable to SQL injection
    Wysoka · 8.8 CVE-2017-7681 >= 1.0.0, < 3.3.0 3.3.0
  9. Apache OpenMeetings vulnerable to Cross-Site Request Forgery
    Wysoka · 8.8 CVE-2017-7666 >= 1.0.0, < 3.3.0 3.3.0
  10. Apache OpenMeetings does not correctly validate uploaded XML documents
    Krytyczna · 10.0 CVE-2017-7664 >= 3.1.0, < 3.3.0 3.3.0
  11. Apache OpenMeetings allows remote attackers to read arbitrary files by attempting to upload a file ten wpis
    Wysoka · 7.5 CVE-2016-2164 < 3.1.1 3.1.1
  12. Apache OpenMeetings RCE
    Krytyczna · 9.8 CVE-2016-8736 < 3.1.2 3.1.2
  13. Apache OpenMeetings vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2017-7684 >= 1.0.0, < 3.3.0 3.3.0
  14. Apache OpenMeetings updates user password in insecure manner
    Wysoka · 7.5 CVE-2017-7688 >= 1.0.0, < 3.3.0 3.3.0
  15. Apache OpenMeetings allows flash content to be loaded from untrusted domains
    Wysoka · 7.5 CVE-2017-7680 >= 1.0.0, < 3.3.0 3.3.0
  16. Apache OpenMeetings vulnerable to parameter manipulation attacks
    Wysoka · 8.2 CVE-2017-7682 >= 3.2.0, < 3.3.0 3.3.0
  17. Apache OpenMeetings has Inadequate Encryption Strength
    Krytyczna · 9.8 CVE-2017-7673 >= 1.0.0, < 3.3.0 3.3.0
  18. Denial of service in Apache OpenMeetings
    Wysoka · 7.5 CVE-2020-13951 >= 4.0.0, < 5.1.0 5.1.0
  19. Uncontrolled Resource Consumption in Apache OpenMeetings server
    Wysoka · 7.5 CVE-2021-27576 >= 4.0.0, < 6.0.0 6.0.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.