Krytyczna

.NET Core Remote Code Execution Vulnerability

Ujawniono: 21.04.2021
Aktualizacja: 11.10.2026 11:23

.NET Core Remote Code Execution Vulnerability This CVE ID is unique from CVE-2021-24112.

Executive summary

Microsoft is releasing this security advisory to provide information about a vulnerability in .NET 5.0, .NET Core 3.1, and .NET Core 2.1. This advisory also provides guidance on what developers can do to update their applications to remove this vulnerability.

A remote code execution vulnerability exists in .NET 5 and .NET Core due to how text encoding is performed.

Discussion

Discussion for this issue can be found at dotnet/runtime#49377

Mitigation factors

Microsoft has not identified any mitigating factors for this vulnerability.

Affected software

The vulnerable package is System.Text.Encodings.Web . Upgrading your package and redeploying your app should be sufficient to address this vulnerability.

Vulnerable package versions:

Any .NET 5, .NET Core, or .NET Framework based application that uses the System.Text.Encodings.Web package with a vulnerable version listed below.

Package Name	Vulnerable Versions	Secure Versions
System.Text.Encodings.Web	4.0.0 - 4.5.0	4.5.1
System.Text.Encodings.Web	4.6.0-4.7.1	4.7.2
System.Text.Encodings.Web	5.0.0	5.0.1

Please validate that each of the .NET versions you are using is in support. Security updates are only provided for supported .NET versions.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
.NET (NuGet)	System.Text.Encodings.Web	>= 4.0.0, < 4.5.1, >= 4.6.0, < 4.7.2, >= 5.0.0, < 5.0.1	4.5.1, 4.7.2, 5.0.1

Odnośniki

Ocena CVSS 9.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): -
Platforma: .NET (NuGet)
Paczka: System.Text.Encodings.Web
Ujawniono: 21.04.2021
Aktualizacja: 11.10.2026 11:23

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-ghhp-997w-qr28 - CC BY 4.0

Historia podatności: System.Text.Encodings.Web

Wszystkie opisane podatności tej paczki (.NET (NuGet)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 10.2018 04.2021
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Krytyczna 1
Wysoka 2
Średnia 2

Ujawnienia w latach

2018: 4
2019: 0
2020: 0
2021: 1
2022: 0
2023: 0
2024: 0
2025: 0
2026: 0

21.04.2021

.NET Core Remote Code Execution Vulnerability ten wpis

Krytyczna · 9.8 CVE-2021-26701 >= 4.0.0, < 4.5.1, >= 4.6.0, < 4.7.2, >= 5.0.0, < 5.0.1 4.5.1, 4.7.2, 5.0.1
16.10.2018

Moderate severity vulnerability that affects Microsoft.AspNetCore.Mvc and Microsoft.AspNetCore.Mvc.Core

Średnia CVE-2017-0248 >= 4.0.0, < 4.0.1, >= 4.3.0, < 4.3.1 4.0.1, 4.3.1
16.10.2018

ASP.NET Core fails to properly validate web requests

Wysoka · 7.5 CVE-2017-0247 >= 4.0.0, < 4.0.1, >= 4.3.0, < 4.3.1 4.0.1, 4.3.1
16.10.2018

Moderate severity vulnerability that affects Microsoft.AspNetCore.Mvc

Średnia · 5.3 CVE-2017-0256 >= 4.0.0, < 4.0.1, >= 4.3.0, < 4.3.1 4.0.1, 4.3.1
16.10.2018

High severity vulnerability that affects Microsoft.AspNetCore.Mvc

Wysoka · 7.3 CVE-2017-0249 >= 4.0.0, < 4.0.1, >= 4.3.0, < 4.3.1 4.0.1, 4.3.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację