中危 Apache Sling i18n 模块存在权限管理不当漏洞
CVE编号
CVE-2023-25621利用情况
暂无补丁情况
官方补丁披露时间
2023-02-09漏洞描述
Apache Sling 是一个开源的 RESTful Web 应用程序框架，i18n(国际化)模块使程序能根据不同语言及地区显示相应的界面。 Apache Sling 的受影响版本中由于未对 i18n 词典的加载路径进行限制，任何具有内容编辑权限的攻击者都可以在具有写入权限的位置向存储库中创建 i18n 词典。由于 i18n 词典应用于整个程序，当用户使用 i18n 进行翻译时会加载攻击者可控的翻译内容。 开发者可通过检查 i18n 资源的加载路径（如只加载来自 /libs 和 /apps 的资源包），只允许受信任用户访问资源路径缓解此漏洞。解决建议
"升级org.apache.sling:org.apache.sling.i18n到 2.6.2 或更高版本""正确配置 i18n 资源的加载路径和访问权限"
参考链接 |
|
|---|---|
| https://sling.apache.org/news.html |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | apache | sling_i18n | * | Up to (excluding) 2.6.2 | |||||
- 攻击路径 本地
- 攻击复杂度 困难
- 权限要求 普通权限
- 影响范围 有限影响
- EXP成熟度 未验证
- 补丁情况 官方补丁
- 数据保密性 无影响
- 数据完整性 无影响
- 服务器危害 无影响
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| NVD-CWE-noinfo |
Exp相关链接
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论