Zaloguj się
Deutsch English Español Polski
Wysoka

Improper Input Validation in Undertow

  • Ujawniono: 24.05.2022
  • Aktualizacja: 11.10.2026 11:21

A flaw was found in all undertow-2.x.x SP1 versions prior to undertow-2.0.30.SP1, all undertow-1.x.x and undertow-2.x.x versions prior to undertow-2.1.0.Final, where the Servlet container causes servletPath to normalize incorrectly by truncating the path after semicolon which may lead to an application mapping resulting in the security bypass.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) io.undertow:undertow-core < 2.1.0 2.1.0

Odnośniki

Ocena CVSS 8.1/10
Wektor CVSS
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Słabość (CWE)
CWE-20, CWE-200
Platforma
Java / Kotlin (Maven)
Paczka
io.undertow:undertow-core
Ujawniono
24.05.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-2w73-fqqj-c92p - CC BY 4.0

Historia podatności: io.undertow:undertow-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (39) w archiwum
Wszystkich wpisów
39
Pierwsza → ostatnia
10.2018 03.2026
Bez poprawki
1
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 19
  • Średnia 16

Ujawnienia w latach

Istotność:
  1. Undertow Servlets Vulnerable to Remote DoS via OutOfMemoryError when Passed Large Parameter Names
    Wysoka · 7.5 CVE-2024-4027 < 2.2.39.Final, >= 2.4.0.Alpha1, < 2.4.0.Beta1, >= 2.3.0.Alpha1, < 2.3.21.Final 2.2.39.Final, 2.4.0.Beta1, 2.3.21.Final
  2. Undertow HTTP server core doesn't properly validate the Host header in incoming HTTP requests
    Krytyczna · 9.6 CVE-2025-12543 >= 2.3.0.Alpha1, < 2.3.21.Final, < 2.2.39.Final, = 2.4.0.Alpha1 2.3.21.Final, 2.2.39.Final
  3. Undertow OutOfMemory when parsing form data encoding with application/x-www-form-urlencoded
    Wysoka · 7.5 CVE-2024-3884 < 2.2.39.Final, >= 2.4.0.Alpha1, < 2.4.0.Beta1, >= 2.3.0.Alpha1, < 2.3.21.Final 2.2.39.Final, 2.4.0.Beta1, 2.3.21.Final
  4. Undertow MadeYouReset HTTP/2 DDoS Vulnerability
    Wysoka · 7.5 CVE-2025-9784 < 2.2.38.Final, >= 2.3.0.Alpha1, < 2.3.20.Final 2.2.38.Final, 2.3.20.Final
  5. Undertow incorrectly parses cookies
    Wysoka · 7.4 CVE-2023-4639 >= 2.3.0.Alpha1, < 2.3.11.Final, < 2.2.30.Final 2.3.11.Final, 2.2.30.Final
  6. Undertow vulnerable to Race Condition
    Wysoka · 7.5 CVE-2024-7885 < 2.2.36.Final, >= 2.3.0.Alpha1, < 2.3.17.Final 2.2.36.Final, 2.3.17.Final
  7. Undertow Denial of Service vulnerability
    Wysoka · 7.5 CVE-2024-5971 >= 2.3.0.Alpha1, < 2.3.15.Final, < 2.2.34.Final 2.3.15.Final, 2.2.34.Final
  8. Undertow's url-encoded request path information can be broken on ajp-listener
    Wysoka · 7.5 CVE-2024-6162 >= 2.3.0.Alpha1, < 2.3.14.Final, < 2.2.33.Final 2.3.14.Final, 2.2.33.Final
  9. Undertow Uncontrolled Resource Consumption Vulnerability
    Wysoka · 7.5 CVE-2024-1635 >= 2.3.0.Final, < 2.3.12.Final, < 2.2.31.Final 2.3.12.Final, 2.2.31.Final
  10. Undertow denial of service vulnerability
    Wysoka · 7.5 CVE-2023-1108 >= 2.3.0, < 2.3.5.Final, < 2.2.24.Final 2.3.5.Final, 2.2.24.Final
  11. Undertow client not checking server identity presented by server certificate in https connections
    Krytyczna · 9.8 CVE-2022-4492 >= 2.3.0, < 2.3.5.Final, < 2.2.24.Final 2.3.5.Final, 2.2.24.Final
  12. Undertow vulnerable to Dos via Large AJP request
    Wysoka · 7.5 CVE-2022-2053 < 2.2.19.Final, >= 2.3.0.Alpha1, < 2.3.0.Alpha2 2.2.19.Final, 2.3.0.Alpha2
  13. Undertow vulnerable to Denial of Service (DoS) attacks
    Wysoka · 7.5 CVE-2021-3859 < 2.2.15 2.2.15
  14. Undertow vulnerable to memory exhaustion due to buffer leak
    Wysoka · 7.5 CVE-2021-3690 < 2.0.40, >= 2.2.0, < 2.2.10 2.0.40, 2.2.10
  15. Undertow Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2021-3629 < 2.0.40.Final, >= 2.1.0, < 2.2.11.Final 2.0.40.Final, 2.2.11.Final
  16. Improper Authorization in Undertoe
    Wysoka · 8.6 CVE-2020-1745 < 2.0.30 2.0.30
  17. Improper Input Validation in Undertow ten wpis
    Wysoka · 8.1 CVE-2020-1757 < 2.1.0 2.1.0
  18. Undertow vulnerable to Uncontrolled Resource Consumption
    Wysoka · 7.5 CVE-2019-14888 < 2.0.29.Final 2.0.29.Final
  19. Undertow Request Smuggling vulnerability
    Wysoka · 7.5 CVE-2017-12165 < 1.3.31, >= 1.4.0, < 1.4.17, >= 2.0.0.Alpha1, < 2.0.0.Beta1 1.3.31, 1.4.17, 2.0.0.Beta1
  20. Denial of service in Undertow
    Wysoka · 7.5 CVE-2020-27782 >= 2.1.0, < 2.1.5, < 2.0.33 2.1.5, 2.0.33
  21. Allocation of Resources Without Limits or Throttling in Undertow
    Wysoka · 7.5 CVE-2020-10705 < 2.1.1.Final 2.1.1.Final
  22. Potential to access user credentials from the log files when debug logging enabled
    Krytyczna · 9.8 CVE-2019-10212 < 2.0.20 2.0.20
  23. Credential exposure through log files in Undertow
    Krytyczna · 9.8 CVE-2019-3888 < 2.0.21 2.0.21

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.