Zaloguj się
Deutsch English Español Polski
Krytyczna

Deserialization of Untrusted Data and Code Injection in xstream

  • Ujawniono: 26.07.2019
  • Aktualizacja: 11.10.2026 13:19

It was found that xstream API version 1.4.10 before 1.4.11 introduced a regression for a previous deserialization flaw. If the security framework has not been initialized, it may allow a remote attacker to run arbitrary shell commands when unmarshalling XML or any supported format. e.g. JSON. (regression of CVE-2013-7285)

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) com.thoughtworks.xstream:xstream >= 1.4.10, < 1.4.11 1.4.11

Odnośniki

Ocena CVSS 9.8/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE)
CWE-502, CWE-94
Platforma
Java / Kotlin (Maven)
Paczka
com.thoughtworks.xstream:xstream
Ujawniono
26.07.2019
Aktualizacja
11.10.2026 13:19

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-hf23-9pf7-388p - CC BY 4.0

Historia podatności: com.thoughtworks.xstream:xstream

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (37) w archiwum
Wszystkich wpisów
37
Pierwsza → ostatnia
05.2019 11.2024
Bez poprawki
0
Wykorzystywana w atakach
1

Rozkład istotności

  • Krytyczna 2
  • Wysoka 22
  • Średnia 13

Ujawnienia w latach

Istotność:
  1. XStream is vulnerable to a Denial of Service attack due to stack overflow from a manipulated binary input stream
    Wysoka · 7.5 CVE-2024-47072 < 1.4.21 1.4.21
  2. XStream can cause a Denial of Service by injecting deeply nested objects raising a stack overflow
    Wysoka · 7.5 CVE-2022-40151 < 1.4.20 1.4.20
  3. XStream can cause Denial of Service via stack overflow
    Wysoka · 8.2 CVE-2022-41966 < 1.4.20 1.4.20
  4. Denial of Service by injecting highly recursive collections or maps in XStream
    Wysoka · 7.5 CVE-2021-43859 < 1.4.19 1.4.19
  5. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39139 < 1.4.18 1.4.18
  6. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39141 < 1.4.18 1.4.18
  7. XStream is vulnerable to a Remote Command Execution attack
    Wysoka · 8.5 Wykorzystywana w atakach CVE-2021-39144 < 1.4.18 1.4.18
  8. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39145 < 1.4.18 1.4.18
  9. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39146 < 1.4.18 1.4.18
  10. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39147 < 1.4.18 1.4.18
  11. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39148 < 1.4.18 1.4.18
  12. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39149 < 1.4.18 1.4.18
  13. A Server-Side Forgery Request can be activated unmarshalling with XStream to access data streams from an arbitrary URL referencing a resource in an intranet or the local host
    Wysoka · 8.5 CVE-2021-39150 < 1.4.18 1.4.18
  14. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39151 < 1.4.18 1.4.18
  15. A Server-Side Forgery Request can be activated unmarshalling with XStream to access data streams from an arbitrary URL referencing a resource in an intranet or the local host
    Wysoka · 8.5 CVE-2021-39152 < 1.4.18 1.4.18
  16. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39153 < 1.4.18 1.4.18
  17. XStream is vulnerable to an Arbitrary Code Execution attack
    Wysoka · 8.5 CVE-2021-39154 < 1.4.18 1.4.18
  18. XStream is vulnerable to a Remote Command Execution attack
    Wysoka · 7.5 CVE-2021-29505 < 1.4.17 1.4.17
  19. XStream can cause a Denial of Service.
    Wysoka · 7.5 CVE-2021-21341 < 1.4.16 1.4.16
  20. XStream can be used for Remote Code Execution
    Wysoka · 8.0 CVE-2020-26217 < 1.4.14-java7 1.4.14-java7
  21. Denial of service in XStream
    Wysoka · 7.5 CVE-2017-7957 < 1.4.10 1.4.10
  22. XML External Entity Injection in XStream
    Wysoka · 7.5 CVE-2016-3674 < 1.4.9 1.4.9
  23. Deserialization of Untrusted Data and Code Injection in xstream ten wpis
    Krytyczna · 9.8 CVE-2019-10173 >= 1.4.10, < 1.4.11 1.4.11
  24. Command Injection in Xstream
    Krytyczna · 9.8 CVE-2013-7285 < 1.4.7, >= 1.4.10, < 1.4.11 1.4.7, 1.4.11

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.