Iniciar sesión
Deutsch English Español Polski
Crítica

Deserialization of Untrusted Data in Apache Tapestry

  • Publicada: 24.05.2022
  • Actualizado: 11.10.2026 11:21

By manipulating classpath asset file URLs, an attacker could guess the path to a known file in the classpath and have it downloaded. If the attacker found the file with the value of the tapestry.hmac-passphrase configuration symbol, most probably the webapp's AppModule class, the value of this symbol could be used to craft a Java deserialization attack, thus running malicious injected Java code. The vector would be the t:formdata parameter from the Form component.

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) org.apache.tapestry:tapestry-core >= 5.4.0, < 5.4.5 5.4.5

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-502
Plataforma
Java / Kotlin (Maven)
Paquete
org.apache.tapestry:tapestry-core
Publicada
24.05.2022
Actualizado
11.10.2026 11:21

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-6mwh-fw4p-75fj - CC BY 4.0

Historial de vulnerabilidades: org.apache.tapestry:tapestry-core

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (9) en el archivo
Entradas en total
9
Primera → última
09.2019 12.2022
Sin corrección
0
Explotada en ataques
0

Distribución por gravedad

  • Crítica 4
  • Alta 4
  • Media 1

Divulgaciones por año

Gravedad:
  1. Apache Tapestry allows deserialization of untrusted data
    Crítica · 9.8 CVE-2022-46366 >= 3.0, < 5.0.1 5.0.1
  2. Apache Tapestry 5.8.1 vulnerable to ReDoS via Content Types causing catastrophic backtracking
    Alta · 7.5 CVE-2022-31781 < 5.8.2 5.8.2
  3. Deserialization of Untrusted Data in Apache Tapestry esta entrada
    Crítica · 9.8 CVE-2019-0195 >= 5.4.0, < 5.4.5 5.4.5
  4. Apache Tapestry Unsafe Object Storage
    Alta CVE-2014-1972 < 5.3.6 5.3.6
  5. Information Exposure in Apache Tapestry
    Alta · 7.5 CVE-2021-30638 >= 5.4.0, < 5.6.4, >= 5.7.0, < 5.7.2 5.6.4, 5.7.2
  6. Remote code execution in Apache Tapestry
    Crítica CVE-2021-27850 >= 5.4.0, < 5.6.3, >= 5.7.0, < 5.7.1 5.6.3, 5.7.1
  7. Path traversal attack on Windows platforms
    Alta · 7.5 CVE-2019-0207 >= 5.4.0, < 5.4.5 5.4.5
  8. Timing attack on HMAC signature comparison in Apache Tapestry
    Crítica · 9.8 CVE-2019-10071 >= 5.4, < 5.4.5 5.4.5

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.