Hoch

High severity vulnerability that affects generator-jhipster

Veröffentlicht: 23.09.2019
Aktualisiert: 11.10.2026 10:22

Generated code uses repository configuration that downloads over HTTP instead of HTTPS

Impact

Gradle users were using the http://repo.spring.io/plugins-release repositories in plain HTTP, and not HTTPS, so a man-in-the-middle attack was possible at build time.

Patches

Maven users should at least upgrade to 6.3.0 while Gradle users should update to 6.3.1. If you are not able to upgrade make sure not to use a Maven repository via http in your build file.

Workarounds

Replace all custom repository definitions in build.gradle or pom.xml with their https version.

e.g.

xml

 <repository>
            <id>oss.sonatype.org-snapshot</id>
            <url>https://oss.sonatype.org/content/repositories/snapshots</url> // <-- must be httpS
            <releases>
                <enabled>false</enabled>
            </releases>
            <snapshots>
                <enabled>true</enabled>
            </snapshots>
</repository>

gradle

maven { url "https://repo.spring.io/plugins-release" } // <-- must be httpS

References

For more information

If you have any questions or comments about this advisory:

Open an issue in https://github.com/jhipster/generator-jhipster/issues

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
npm-Paket	generator-jhipster	< 6.3.1	6.3.1

Verweise

CVSS-Wert 8.1/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-494, CWE-829
Plattform: npm
Paket: generator-jhipster
Veröffentlicht: 23.09.2019
Aktualisiert: 11.10.2026 10:22

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-mc84-xr9p-938r - CC BY 4.0

Schwachstellenhistorie: generator-jhipster

Alle veröffentlichten Schwachstellen dieses Pakets (npm-Paket), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Einträge insgesamt: 5
Erste → letzte: 09.2019 10.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5

Veröffentlichungen pro Jahr

2019: 1
2020: 0
2021: 0
2022: 1
2023: 1
2024: 0
2025: 0
2026: 2

08.10.2026

JHipster: SQL Injection in the Parameter of JHipster-Generated Reactive (WebFlux + R2DBC) Applicationssort

Hoch · 8.8 CVE-2026-107375 >= 7.0.0, < 9.4.0 9.4.0
08.10.2026

JHipster: Generated Applications Allow Stored XSS via Unrestricted Blob ContentType Opened as Same-Origin Blob

Hoch · 7.6 CVE-2026-107303 < 9.4.0 9.4.0
31.10.2023

generator-jhipster allows a timing attack against validateToken due to a string comparison that stops at the first character

Hoch · 7.5 CVE-2015-20110 < 2.23.0 2.23.0
07.04.2022

SQL Injection when creating an application with Reactive SQL backend

Hoch · 8.1 CVE-2022-24815 >= 7.0.0, < 7.8.1 7.8.1
23.09.2019

High severity vulnerability that affects generator-jhipster dieser Eintrag

Hoch · 8.1 ghsa-mc84-xr9p-938r < 6.3.1 6.3.1

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden