תיאור (מקור, אנגלית)
Xstream API versions up to 1.4.6 and version 1.4.10, if the security framework has not been initialized, may allow a remote attacker to run arbitrary shell commands by manipulating the processed input stream when unmarshaling XML or any supported format. e.g. JSON.
מוצרים מושפעים
oracle: endeca information discovery studio; apache: activemq; xstream: xstream
קישורים10
- x-stream.github.io/CVE-2013-7285.html ExploitThird Party Advisory
- x-stream.github.io/CVE-2013-7285.html ExploitThird Party Advisory
- blog.diniscruz.com/2013/12/xstream-remote-code-execution-explo… Broken LinkNot ApplicableURL Repurposed
- seclists.org/oss-sec/2014/q1/69 Mailing ListThird Party Advisory
- web.archive.org/web/20140204133306/blog.diniscruz.com/2013/12/… Third Party Advisory
- lists.apache.org/thread.html/6d3d34adcf3dfc48e36342aa1f18ce3c2… Mailing List
- lists.apache.org/thread.html/dcf8599b80e43a6b60482607adb76c646… Mailing List
- www.mail-archive.com/user%40xstream.codehaus.org/msg00604.html Third Party Advisory
- www.mail-archive.com/user%40xstream.codehaus.org/msg00607.html Third Party Advisory
- www.oracle.com/security-alerts/cpuoct2020.html Third Party Advisory
מדדים
- CVSS 3.1
-
9.8
CRITICAL
מקור הציון: NVD
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H - EPSS — סבירות ניצול
- 84% אחוזון 100 · נכון ל-3 בנובמבר 2026
- CWE
- CWE-78
האם אפשר לנצל את הפגיעות הזו אצלכם?
עדכון אבטחה סוגר את הפרצה הידועה. בדיקת חדירות מראה לאן תוקף עדיין יכול להגיע — עם הוכחה.