Zaloguj się
Deutsch English Español Polski
Wysoka

Apache Tapestry 5.8.1 vulnerable to ReDoS via Content Types causing catastrophic backtracking

  • Ujawniono: 14.07.2022
  • Aktualizacja: 11.10.2026 11:21

Apache Tapestry up to version 5.8.1 is vulnerable to Regular Expression Denial of Service (ReDoS) in the way it handles Content Types. Specially crafted Content Types may cause catastrophic backtracking, taking exponential time to complete. Specifically, this is about the regular expression used on the parameter of the org.apache.tapestry5.http.ContentType class. Apache Tapestry 5.8.2 has a fix for this vulnerability. Notice the vulnerability cannot be triggered by web requests in Tapestry code alone. It would only happen if there's some non-Tapestry codepath passing some outside input to the ContentType class constructor.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.tapestry:tapestry-core < 5.8.2 5.8.2

Odnośniki

Ocena CVSS 7.5/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Słabość (CWE)
CWE-1333, CWE-400
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.tapestry:tapestry-core
Ujawniono
14.07.2022
Aktualizacja
11.10.2026 11:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-227g-7cvv-6ff3 - CC BY 4.0

Historia podatności: org.apache.tapestry:tapestry-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (9) w archiwum
Wszystkich wpisów
9
Pierwsza → ostatnia
09.2019 12.2022
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 4
  • Wysoka 4
  • Średnia 1

Ujawnienia w latach

Istotność:
  1. Apache Tapestry allows deserialization of untrusted data
    Krytyczna · 9.8 CVE-2022-46366 >= 3.0, < 5.0.1 5.0.1
  2. Apache Tapestry 5.8.1 vulnerable to ReDoS via Content Types causing catastrophic backtracking ten wpis
    Wysoka · 7.5 CVE-2022-31781 < 5.8.2 5.8.2
  3. Deserialization of Untrusted Data in Apache Tapestry
    Krytyczna · 9.8 CVE-2019-0195 >= 5.4.0, < 5.4.5 5.4.5
  4. Apache Tapestry Unsafe Object Storage
    Wysoka CVE-2014-1972 < 5.3.6 5.3.6
  5. Information Exposure in Apache Tapestry
    Wysoka · 7.5 CVE-2021-30638 >= 5.4.0, < 5.6.4, >= 5.7.0, < 5.7.2 5.6.4, 5.7.2
  6. Remote code execution in Apache Tapestry
    Krytyczna CVE-2021-27850 >= 5.4.0, < 5.6.3, >= 5.7.0, < 5.7.1 5.6.3, 5.7.1
  7. Path traversal attack on Windows platforms
    Wysoka · 7.5 CVE-2019-0207 >= 5.4.0, < 5.4.5 5.4.5
  8. Timing attack on HMAC signature comparison in Apache Tapestry
    Krytyczna · 9.8 CVE-2019-10071 >= 5.4, < 5.4.5 5.4.5

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.