Apache Shiro FORM 重定向漏洞 (CVE-2023-46750)

漏洞类型 跨站重定向 发现时间 2023-11-12 漏洞等级 低危
MPS编号 MPS-14×5-9n6b CVE编号 CVE-2023-46750 漏洞影响广度

漏洞危害

OSCS 描述
Apache Shiro 是一个开源的Java安全框架,用于简化应用程序的身份验证、授权、加密和会话管理等安全相关的操作。
在受影响版本中,由于在FORM身份验证中没有对认证后重定向的页面做验证,攻击者可以构造恶意的URL,使得用户重定向到恶意的URL地址。
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.shiro:shiro-web [1.0.0-incubating, 1.13.0) 升级 将组件 org.apache.shiro:shiro-web 升级至 1.13.0 及以上版本
org.apache.shiro:shiro-web [2.0.0-alpha-1, 2.0.0-alpha-4) 升级 将组件 org.apache.shiro:shiro-web 升级至 2.0.0-alpha-4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-14×5-9n6b

https://shiro.apache.org/blog/2023/11/10/apache-shiro-1130-released.html

https://github.com/apache/shiro/commit/8400d08d5eac0bc4fae99d28c5adc82dd8a86eda

https://github.com/apache/shiro/commit/d62387dc576a56a694f0353b3245a892f2f28835

(0)
上一篇 2023年11月10日 下午2:00
下一篇 2023年11月16日 下午12:00

相关推荐

  • Smartbi 商业智能BI软件权限绕过漏洞【细节公开】

    漏洞类型 通过用户控制密钥绕过授权机制 发现时间 2023/8/1 漏洞等级 严重 MPS编号 MPS-el01-w76v CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 Smartbi 是一款商业智能应用,提供了数据集成、分析、可视化等功能,帮助用户理解和使用他们的数据进行决策。在 Smartbi 受影响版本中存在权限绕过问题,未授…

    2023年8月11日
    0
  • mysql2<3.9.7 代码注入漏洞 (CVE-2024-21511)

    漏洞类型 代码注入 发现时间 2024-04-23 漏洞等级 严重 MPS编号 MPS-c0j3-khva CVE编号 CVE-2024-21511 漏洞影响广度 广 漏洞危害 OSCS 描述 mysql2 是用于操作 MySQL 数据库的高性能Node.js库,可兼容 Node MySQL API、并提供预编译语句、扩展编码等功能。 受影响版本的 read…

    漏洞 2024年4月24日
    0
  • Apache Camel JDBCAggregationRepository反序列化漏洞 (CVE-2024-22369)

    漏洞类型 反序列化 发现时间 2024-02-20 漏洞等级 高危 MPS编号 MPS-03tm-wyhp CVE编号 CVE-2024-22369 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Camel 是开源的系统间数据交互集成框架。 在受影响版本中,由于对JDBCAggregationRepository中exchange的实现存在未限制…

    2024年2月20日
    0
  • 用友 U8 Cloud、GRP-U8、A++V8.31存在多个高危漏洞

    漏洞类型 注入 发现时间 2023/5/17 漏洞等级 高危 MPS编号 MPS-u37w-cdit CVE编号 – 漏洞影响广度 广 漏洞危害 OSCS 描述 用友 U8 Cloud、GRP-U8 是用友软件公司开发的提供企业资源管理解决方案的产品。用友 U8 Cloud 存在3个高危漏洞,分别为LoggingConfigServlet反序列化…

    2023年8月31日
    0
  • JumpServer 目录穿越漏洞 (CVE-2023-42819)

    漏洞类型 相对路径遍历 发现时间 2023-09-27 漏洞等级 中危 MPS编号 MPS-dw07-ztm9 CVE编号 CVE-2023-42819 漏洞影响广度 广 漏洞危害 OSCS 描述 JumpServer 是一款开源的堡垒机。 在JumpServer受影响版本中,由于在api/playbook.py文件直接使用os.path.join对file…

    2023年9月28日
    0