CVE-2009-3960mediumbajo ataqueransomware

CVE-2009-3960

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear BlazeDS

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 6.5epss 90%
de la publicación al arma7 días
Publicada en NVD15 feb
1ª PoC+7d
CISA KEV+4403d
Acción exigida por CISAplazo federal: 2022-09-07

Apply updates per vendor instructions.

En resumen

Una falla en BlazeDS y productos relacionados de Adobe permite que atacantes obtengan información sensible manipulando solicitudes XML con etiquetas inyectadas y referencias a entidades externas. Esto podría exponer datos confidenciales si un atacante envía una solicitud especialmente elaborada al sistema afectado.

Detalle técnico

Una vulnerabilidad no especificada en BlazeDS 3.2 y versiones anteriores (afectando LiveCycle, Flex Data Services y ColdFusion) permite que atacantes remotos recuperen información sensible mediante inyección de entidades externas XML (XXE) e inyección de etiquetas. El ataque requiere envío de una solicitud XML malformada pero no necesita autenticación, permitiendo divulgación de información.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Unspecified vulnerability in BlazeDS 3.2 and earlier, as used in LiveCycle 8.0.1, 8.2.1, and 9.0, LiveCycle Data Services 2.5.1, 2.6.1, and 3.0, Flex Data Services 2.0.1, and ColdFusion 7.0.2, 8.0, 8.0.1, and 9.0, allows remote attackers to obtain sensitive information via vectors that are associated with a request, and related to injected tags and external entity references in XML documents.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.