Iniciar sesión
Deutsch English Español Polski
Crítica

Deserialization of Untrusted Data and Code Injection in xstream

  • Publicada: 26.07.2019
  • Actualizado: 11.10.2026 13:19

It was found that xstream API version 1.4.10 before 1.4.11 introduced a regression for a previous deserialization flaw. If the security framework has not been initialized, it may allow a remote attacker to run arbitrary shell commands when unmarshalling XML or any supported format. e.g. JSON. (regression of CVE-2013-7285)

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

PlataformaPaqueteVersiones vulnerablesCorregida en
Java / Kotlin (Maven) com.thoughtworks.xstream:xstream >= 1.4.10, < 1.4.11 1.4.11

Referencias

Puntuación CVSS 9.8/10
Vector CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Debilidad (CWE)
CWE-502, CWE-94
Plataforma
Java / Kotlin (Maven)
Paquete
com.thoughtworks.xstream:xstream
Publicada
26.07.2019
Actualizado
11.10.2026 13:19

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-hf23-9pf7-388p - CC BY 4.0

Historial de vulnerabilidades: com.thoughtworks.xstream:xstream

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Todas (37) en el archivo
Entradas en total
37
Primera → última
05.2019 11.2024
Sin corrección
0
Explotada en ataques
1

Distribución por gravedad

  • Crítica 2
  • Alta 22
  • Media 13

Divulgaciones por año

Gravedad:
  1. XStream is vulnerable to a Denial of Service attack due to stack overflow from a manipulated binary input stream
    Alta · 7.5 CVE-2024-47072 < 1.4.21 1.4.21
  2. XStream can cause a Denial of Service by injecting deeply nested objects raising a stack overflow
    Alta · 7.5 CVE-2022-40151 < 1.4.20 1.4.20
  3. XStream can cause Denial of Service via stack overflow
    Alta · 8.2 CVE-2022-41966 < 1.4.20 1.4.20
  4. Denial of Service by injecting highly recursive collections or maps in XStream
    Alta · 7.5 CVE-2021-43859 < 1.4.19 1.4.19
  5. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39139 < 1.4.18 1.4.18
  6. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39141 < 1.4.18 1.4.18
  7. XStream is vulnerable to a Remote Command Execution attack
    Alta · 8.5 Explotada en ataques CVE-2021-39144 < 1.4.18 1.4.18
  8. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39145 < 1.4.18 1.4.18
  9. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39146 < 1.4.18 1.4.18
  10. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39147 < 1.4.18 1.4.18
  11. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39148 < 1.4.18 1.4.18
  12. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39149 < 1.4.18 1.4.18
  13. A Server-Side Forgery Request can be activated unmarshalling with XStream to access data streams from an arbitrary URL referencing a resource in an intranet or the local host
    Alta · 8.5 CVE-2021-39150 < 1.4.18 1.4.18
  14. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39151 < 1.4.18 1.4.18
  15. A Server-Side Forgery Request can be activated unmarshalling with XStream to access data streams from an arbitrary URL referencing a resource in an intranet or the local host
    Alta · 8.5 CVE-2021-39152 < 1.4.18 1.4.18
  16. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39153 < 1.4.18 1.4.18
  17. XStream is vulnerable to an Arbitrary Code Execution attack
    Alta · 8.5 CVE-2021-39154 < 1.4.18 1.4.18
  18. XStream is vulnerable to a Remote Command Execution attack
    Alta · 7.5 CVE-2021-29505 < 1.4.17 1.4.17
  19. XStream can cause a Denial of Service.
    Alta · 7.5 CVE-2021-21341 < 1.4.16 1.4.16
  20. XStream can be used for Remote Code Execution
    Alta · 8.0 CVE-2020-26217 < 1.4.14-java7 1.4.14-java7
  21. Denial of service in XStream
    Alta · 7.5 CVE-2017-7957 < 1.4.10 1.4.10
  22. XML External Entity Injection in XStream
    Alta · 7.5 CVE-2016-3674 < 1.4.9 1.4.9
  23. Deserialization of Untrusted Data and Code Injection in xstream esta entrada
    Crítica · 9.8 CVE-2019-10173 >= 1.4.10, < 1.4.11 1.4.11
  24. Command Injection in Xstream
    Crítica · 9.8 CVE-2013-7285 < 1.4.7, >= 1.4.10, < 1.4.11 1.4.7, 1.4.11

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación
Newsletter DockRay

La seguridad de tus aplicaciones en tu correo

Vulnerabilidades importantes, recomendaciones concretas y consejos prácticos para tus aplicaciones. Elige tus tecnologías y sigue lo que importa para tu proyecto.

  • Un resumen diario de nuevas vulnerabilidades, también las críticas.
  • Avisos sobre actualizaciones importantes.
  • Consejos prácticos sobre seguridad y monitorización de aplicaciones.

Déjalo vacío para recibir avisos de todas las tecnologías.

Política de privacidad

Suscripción gratuita. Date de baja con un clic en cualquier correo.