Apache Commons FileUpload denial of service vulnerability
Apache Commons FileUpload before 1.5 does not limit the number of request parts to be processed resulting in the possibility of an attacker triggering a DoS with a malicious upload or series of uploads. Note that, like all of the file upload limits, the new configuration option (FileUploadBase#setFileCountMax) is not enabled by default and must be explicitly configured.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | commons-fileupload:commons-fileupload | < 1.5 | 1.5 |
| Java / Kotlin (Maven) | org.apache.tomcat.embed:tomcat-embed-core | >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 | 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71 |
| Java / Kotlin (Maven) | org.apache.tomcat:tomcat-catalina | >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 | 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71 |
| Java / Kotlin (Maven) | org.apache.tomcat:tomcat-coyote | >= 10.1.0-M1, < 10.1.5, >= 11.0.0-M2, < 11.0.0-M5, >= 8.5.85, < 8.5.88, >= 9.0.0-M1, < 9.0.71 | 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2023-24998
- https://github.com/apache/commons-fileupload/commit/e20c04990f7420ca917e96a84cec58b13a1b3d17
- https://github.com/apache/tomcat/commit/8a2285f13affa961cc65595aad999db5efae45ce
- https://github.com/apache/tomcat/commit/9ca96c8c1eba86c0aaa2e6be581ba2a7d4d4ae6e
- https://github.com/apache/tomcat/commit/cf77cc545de0488fb89e24294151504a7432df74
- https://github.com/apache/tomcat/commit/d53d8e7f77042cc32a3b98f589496a1ef5088e38
- https://www.debian.org/security/2023/dsa-5522
- https://tomcat.apache.org/security-9.html
- https://tomcat.apache.org/security-8.html
- https://tomcat.apache.org/security-11.html
- https://tomcat.apache.org/security-10.html
- https://security.netapp.com/advisory/ntap-20241108-0002
- https://security.netapp.com/advisory/ntap-20230302-0013
- https://security.gentoo.org/glsa/202305-37
- https://lists.debian.org/debian-lts-announce/2025/07/msg00008.html
- https://lists.debian.org/debian-lts-announce/2023/10/msg00020.html
- https://lists.apache.org/thread/4xl4l09mhwg4vgsk7dxqogcjrobrrdoy
- https://github.com/search?q=repo%3Aapache%2Ftomcat+util.http+path%3A%2F%5Eres%5C%2Fbnd%5C%2F%2F&type=code
- https://github.com/apache/commons-fileupload
- https://commons.apache.org/proper/commons-fileupload/security-reports.html
- http://www.openwall.com/lists/oss-security/2023/05/22/1
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- Słabość (CWE)
CWE-770- Platforma
- Java / Kotlin (Maven)
- Paczka
commons-fileupload:commons-fileupload, org.apache.tomcat.embed:tomcat-embed-core, org.apache.tomcat:tomcat-catalina- Ujawniono
- 20.02.2023
- Aktualizacja
- 11.10.2026 12:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-hfrx-6qgj-fp6c - CC BY 4.0
Historia podatności: org.apache.tomcat:tomcat-catalina
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 41
- Pierwsza → ostatnia
- 05.2019 08.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 3
Rozkład istotności
- Krytyczna 9
- Wysoka 16
- Średnia 11
- Niska 5
Ujawnienia w latach
- 2019: 1
- 2020: 1
- 2021: 0
- 2022: 8
- 2023: 6
- 2024: 3
- 2025: 11
- 2026: 11
-
Apache Commons FileUpload denial of service vulnerability ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.