Zaloguj się
Deutsch English Español Polski
Wysoka

Apache Solr vulnerable to XML Bomb

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 11:22

Solr versions prior to 5.0.0 are vulnerable to an XML resource consumption attack (a.k.a. Lol Bomb) via it?s update handler.?By leveraging XML DOCTYPE and ENTITY type elements, the attacker can create a pattern that will expand when the server parses the XML causing OOMs.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.solr:solr-core < 5.0.0 5.0.0

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-776
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.solr:solr-core
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 11:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-jq2w-w7v2-69q5 - CC BY 4.0

Historia podatności: org.apache.solr:solr-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (31) w archiwum
Wszystkich wpisów
31
Pierwsza → ostatnia
10.2018 06.2026
Bez poprawki
1
Wykorzystywana w atakach
2

Rozkład istotności

  • Krytyczna 4
  • Wysoka 16
  • Średnia 10
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Solr has hardcoded credentials in the Basic Authentication setup tool
    Wysoka · 8.1 CVE-2026-44825 >= 9.4.0, <= 9.10.1, = 10.0.0 brak poprawki
  2. Apache Solr: Insufficient file-access checking in standalone core-creation requests
    Wysoka · 7.1 CVE-2026-22444 >= 8.6.0, < 9.10.1 9.10.1
  3. Apache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPlugin
    Wysoka · 8.2 CVE-2026-22022 >= 5.3.0, < 9.10.1 9.10.1
  4. Apache Solr vulnerable to Execution with Unnecessary Privileges
    Wysoka CVE-2025-24814 < 9.8.0 9.8.0
  5. Apache Solr: Backup/Restore APIs allow for deployment of executables in malicious ConfigSets
    Wysoka · 8.8 CVE-2023-50386 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.4.1 8.11.3, 9.4.1
  6. Apache Solr can leak certain passwords due to System Property redaction logic inconsistencies
    Wysoka · 7.5 CVE-2023-50291 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.3.0 8.11.3, 9.3.0
  7. Apache Solr vulnerable to XML Bomb ten wpis
    Wysoka · 7.5 CVE-2019-12401 < 5.0.0 5.0.0
  8. Improper Restriction of XML External Entity Reference in Apache Solr
    Wysoka CVE-2012-6612 < 4.1.0 4.1.0
  9. Apache Solr insecure inter-node communication
    Wysoka · 7.5 CVE-2017-7660 >= 5.3.0, < 5.5.5, >= 6.0.0, < 6.6.0 5.5.5, 6.6.0
  10. Apache Solr Kerberos delegation token functionality flaws
    Wysoka · 7.5 CVE-2017-9803 >= 6.2.0, < 6.6.1 6.6.1
  11. Incorrect Authorization in Apache Solr
    Krytyczna · 9.8 CVE-2020-13957 >= 6.6.0, < 8.6.3 8.6.3
  12. Improper permission handling in Apache Solr
    Wysoka · 7.5 CVE-2021-29262 < 8.8.2 8.8.2
  13. Improper Input Validation in Apache Solr
    Wysoka · 7.5 Wykorzystywana w atakach CVE-2019-17558 >= 5.0.0, < 8.4.0, >= 6.0.0, < 8.4.0, >= 7.0.0, < 8.4.0, >= 8.0.0, < 8.4.0 8.4.0
  14. Unrestricted upload of file with dangerous type in Apache Solr
    Krytyczna · 9.8 CVE-2019-12409 >= 8.1.1, < 8.3.0 8.3.0
  15. XML External Entity (XXE) Injection in Apache Solr
    Wysoka · 7.2 Wykorzystywana w atakach CVE-2019-0193 < 8.2.0 8.2.0
  16. Server-Side Request Forgery (SSRF) in org.apache.solr:solr-core
    Wysoka · 7.5 CVE-2017-3164 >= 1.3.0, < 7.7.0 7.7.0
  17. Critical severity vulnerability that affects org.apache.solr:solr-core
    Krytyczna · 9.8 CVE-2019-0192 >= 5.0.0, < 7.0.0, >= 6.0.0, < 7.0.0 7.0.0
  18. Improper Limitation of a Pathname ('Path Traversal') in org.apache.solr:solr-core
    Wysoka · 7.5 CVE-2017-3163 < 5.5.4, >= 6.0.0, < 6.4.1 5.5.4, 6.4.1
  19. Remote code execution occurs in Apache Solr
    Krytyczna · 9.8 CVE-2017-12629 >= 7.0.0, < 7.1.0, >= 6.0.0, < 6.6.2, >= 5.5.0, < 5.5.5 7.1.0, 6.6.2, 5.5.5
  20. There is a XML external entity expansion (XXE) vulnerability in Apache Solr
    Wysoka · 7.5 CVE-2018-1308 >= 1.2, < 6.6.3, >= 7.0.0, < 7.3.0 6.6.3, 7.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.