CVE-2010-1428
Publicada el · Actualizada el
Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.
Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.
Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.
Apply updates per vendor instructions.
La Consola Web de JBoss no protege información sensible contra solicitudes que utilizan métodos HTTP diferentes a GET y POST, permitiendo que atacantes eludan los controles de seguridad y accedan a datos restringidos.
La Consola Web en JBoss EAP versiones 4.2 y 4.3 implementa control de acceso solo para los métodos HTTP GET y POST, dejando otros métodos (como HEAD, OPTIONS, TRACE) desprotegidos. Un atacante remoto no autenticado puede explotar esta validación incompleta de métodos para recuperar información sensible mediante solicitudes con verbos HTTP alternativos.
El análisis completo de esta CVE está disponible en portugués →