Wysoka

High severity vulnerability that affects generator-jhipster

Ujawniono: 23.09.2019
Aktualizacja: 11.10.2026 10:22

Generated code uses repository configuration that downloads over HTTP instead of HTTPS

Impact

Gradle users were using the http://repo.spring.io/plugins-release repositories in plain HTTP, and not HTTPS, so a man-in-the-middle attack was possible at build time.

Patches

Maven users should at least upgrade to 6.3.0 while Gradle users should update to 6.3.1. If you are not able to upgrade make sure not to use a Maven repository via http in your build file.

Workarounds

Replace all custom repository definitions in build.gradle or pom.xml with their https version.

e.g.

xml

 <repository>
            <id>oss.sonatype.org-snapshot</id>
            <url>https://oss.sonatype.org/content/repositories/snapshots</url> // <-- must be httpS
            <releases>
                <enabled>false</enabled>
            </releases>
            <snapshots>
                <enabled>true</enabled>
            </snapshots>
</repository>

gradle

maven { url "https://repo.spring.io/plugins-release" } // <-- must be httpS

References

For more information

If you have any questions or comments about this advisory:

Open an issue in https://github.com/jhipster/generator-jhipster/issues

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Paczka npm	generator-jhipster	< 6.3.1	6.3.1

Odnośniki

Ocena CVSS 8.1/10

Wektor CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-494, CWE-829
Platforma: npm
Paczka: generator-jhipster
Ujawniono: 23.09.2019
Aktualizacja: 11.10.2026 10:22

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-mc84-xr9p-938r - CC BY 4.0

Historia podatności: generator-jhipster

Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkich wpisów: 5
Pierwsza → ostatnia: 09.2019 10.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5

Ujawnienia w latach

2019: 1
2020: 0
2021: 0
2022: 1
2023: 1
2024: 0
2025: 0
2026: 2

08.10.2026

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

Wysoka · 8.8 CVE-2026-107375 >= 7.0.0, < 9.4.0 9.4.0
08.10.2026

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

Wysoka · 7.6 CVE-2026-107303 < 9.4.0 9.4.0
31.10.2023

generator-jhipster allows a timing attack against validateToken due to a string comparison that stops at the first character

Wysoka · 7.5 CVE-2015-20110 < 2.23.0 2.23.0
07.04.2022

SQL Injection when creating an application with Reactive SQL backend

Wysoka · 8.1 CVE-2022-24815 >= 7.0.0, < 7.8.1 7.8.1
23.09.2019

High severity vulnerability that affects generator-jhipster ten wpis

Wysoka · 8.1 ghsa-mc84-xr9p-938r < 6.3.1 6.3.1

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację