Zaloguj się
Deutsch English Español Polski
Niska

Apache Solr Schema Designer blindly "trusts" all configsets

  • Ujawniono: 09.02.2024
  • Aktualizacja: 11.10.2026 12:21

Incorrect Permission Assignment for Critical Resource, Improper Control of Dynamically-Managed Code Resources vulnerability in Apache Solr.

This issue affects Apache Solr from 8.10.0 through 8.11.2, from 9.0.0 before 9.3.0.

The Schema Designer was introduced to allow users to more easily configure and test new Schemas and configSets. However, when the feature was created, the "trust" (authentication) of these configSets was not considered. External library loading is only available to configSets that are "trusted" (created by authenticated users), thus non-authenticated users are unable to perform Remote Code Execution. Since the Schema Designer loaded configSets without taking their "trust" into account, configSets that were created by unauthenticated users were allowed to load external libraries when used in the Schema Designer.

Users are recommended to upgrade to version 9.3.0 or 8.11.3, both of which fix the issue.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Java / Kotlin (Maven) org.apache.solr:solr-core >= 9.0.0, < 9.3.0, >= 8.10.0, < 8.11.3 9.3.0, 8.11.3

Odnośniki

Ocena CVSS -
Słabość (CWE)
CWE-732
Platforma
Java / Kotlin (Maven)
Paczka
org.apache.solr:solr-core
Ujawniono
09.02.2024
Aktualizacja
11.10.2026 12:21

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-4wxw-42wx-2wfx - CC BY 4.0

Historia podatności: org.apache.solr:solr-core

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (31) w archiwum
Wszystkich wpisów
31
Pierwsza → ostatnia
10.2018 06.2026
Bez poprawki
1
Wykorzystywana w atakach
2

Rozkład istotności

  • Krytyczna 4
  • Wysoka 16
  • Średnia 10
  • Niska 1

Ujawnienia w latach

Istotność:
  1. Apache Solr has hardcoded credentials in the Basic Authentication setup tool
    Wysoka · 8.1 CVE-2026-44825 >= 9.4.0, <= 9.10.1, = 10.0.0 brak poprawki
  2. Apache Solr: Insufficient file-access checking in standalone core-creation requests
    Wysoka · 7.1 CVE-2026-22444 >= 8.6.0, < 9.10.1 9.10.1
  3. Apache Solr: Unauthorized bypass of certain "predefined permission" rules in the RuleBasedAuthorizationPlugin
    Wysoka · 8.2 CVE-2026-22022 >= 5.3.0, < 9.10.1 9.10.1
  4. Apache Solr vulnerable to Execution with Unnecessary Privileges
    Wysoka CVE-2025-24814 < 9.8.0 9.8.0
  5. Apache Solr: Backup/Restore APIs allow for deployment of executables in malicious ConfigSets
    Wysoka · 8.8 CVE-2023-50386 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.4.1 8.11.3, 9.4.1
  6. Apache Solr can leak certain passwords due to System Property redaction logic inconsistencies
    Wysoka · 7.5 CVE-2023-50291 >= 6.0.0, < 8.11.3, >= 9.0.0, < 9.3.0 8.11.3, 9.3.0
  7. Apache Solr Schema Designer blindly "trusts" all configsets ten wpis
    Niska CVE-2023-50292 >= 9.0.0, < 9.3.0, >= 8.10.0, < 8.11.3 9.3.0, 8.11.3
  8. Apache Solr vulnerable to XML Bomb
    Wysoka · 7.5 CVE-2019-12401 < 5.0.0 5.0.0
  9. Improper Restriction of XML External Entity Reference in Apache Solr
    Wysoka CVE-2012-6612 < 4.1.0 4.1.0
  10. Apache Solr insecure inter-node communication
    Wysoka · 7.5 CVE-2017-7660 >= 5.3.0, < 5.5.5, >= 6.0.0, < 6.6.0 5.5.5, 6.6.0
  11. Apache Solr Kerberos delegation token functionality flaws
    Wysoka · 7.5 CVE-2017-9803 >= 6.2.0, < 6.6.1 6.6.1
  12. Incorrect Authorization in Apache Solr
    Krytyczna · 9.8 CVE-2020-13957 >= 6.6.0, < 8.6.3 8.6.3
  13. Improper permission handling in Apache Solr
    Wysoka · 7.5 CVE-2021-29262 < 8.8.2 8.8.2
  14. Improper Input Validation in Apache Solr
    Wysoka · 7.5 Wykorzystywana w atakach CVE-2019-17558 >= 5.0.0, < 8.4.0, >= 6.0.0, < 8.4.0, >= 7.0.0, < 8.4.0, >= 8.0.0, < 8.4.0 8.4.0
  15. Unrestricted upload of file with dangerous type in Apache Solr
    Krytyczna · 9.8 CVE-2019-12409 >= 8.1.1, < 8.3.0 8.3.0
  16. XML External Entity (XXE) Injection in Apache Solr
    Wysoka · 7.2 Wykorzystywana w atakach CVE-2019-0193 < 8.2.0 8.2.0
  17. Server-Side Request Forgery (SSRF) in org.apache.solr:solr-core
    Wysoka · 7.5 CVE-2017-3164 >= 1.3.0, < 7.7.0 7.7.0
  18. Critical severity vulnerability that affects org.apache.solr:solr-core
    Krytyczna · 9.8 CVE-2019-0192 >= 5.0.0, < 7.0.0, >= 6.0.0, < 7.0.0 7.0.0
  19. Improper Limitation of a Pathname ('Path Traversal') in org.apache.solr:solr-core
    Wysoka · 7.5 CVE-2017-3163 < 5.5.4, >= 6.0.0, < 6.4.1 5.5.4, 6.4.1
  20. Remote code execution occurs in Apache Solr
    Krytyczna · 9.8 CVE-2017-12629 >= 7.0.0, < 7.1.0, >= 6.0.0, < 6.6.2, >= 5.5.0, < 5.5.5 7.1.0, 6.6.2, 5.5.5
  21. There is a XML external entity expansion (XXE) vulnerability in Apache Solr
    Wysoka · 7.5 CVE-2018-1308 >= 1.2, < 6.6.3, >= 7.0.0, < 7.3.0 6.6.3, 7.3.0

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.