Apache Shiro FORM 重定向漏洞 (CVE-2023-46750)

漏洞类型 跨站重定向 发现时间 2023-11-12 漏洞等级 低危
MPS编号 MPS-14×5-9n6b CVE编号 CVE-2023-46750 漏洞影响广度

漏洞危害

OSCS 描述
Apache Shiro 是一个开源的Java安全框架,用于简化应用程序的身份验证、授权、加密和会话管理等安全相关的操作。
在受影响版本中,由于在FORM身份验证中没有对认证后重定向的页面做验证,攻击者可以构造恶意的URL,使得用户重定向到恶意的URL地址。
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.shiro:shiro-web [1.0.0-incubating, 1.13.0) 升级 将组件 org.apache.shiro:shiro-web 升级至 1.13.0 及以上版本
org.apache.shiro:shiro-web [2.0.0-alpha-1, 2.0.0-alpha-4) 升级 将组件 org.apache.shiro:shiro-web 升级至 2.0.0-alpha-4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-14×5-9n6b

https://shiro.apache.org/blog/2023/11/10/apache-shiro-1130-released.html

https://github.com/apache/shiro/commit/8400d08d5eac0bc4fae99d28c5adc82dd8a86eda

https://github.com/apache/shiro/commit/d62387dc576a56a694f0353b3245a892f2f28835

(0)
上一篇 2023年11月10日 下午2:00
下一篇 2023年11月16日 下午12:00

相关推荐

  • ShowDoc <3.2.5 存在远程代码执行漏洞 (MPS-eafb-s8r2)

    漏洞类型 代码注入 发现时间 2024-05-28 漏洞等级 严重 MPS编号 MPS-eafb-s8r2 CVE编号 – 漏洞影响广度 漏洞危害 OSCS 描述 ShowDoc 是基于thinkPHP开发的开源文档管理系统,支持使用 Markdown 语法书写API文档、数据字典、在线Excel文档等功能。 ShowDoc 3.2.5之前版本存…

    漏洞 2024年5月30日
    0
  • Apache Struts2 存在远程代码执行漏洞 (CVE-2023-50164)

    漏洞类型 对外部实体的文件或目录可访问 发现时间 2023-12-07 漏洞等级 严重 MPS编号 MPS-5qa9-hjgt CVE编号 CVE-2023-50164 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Struts是美国阿帕奇(Apache)基金会的开源Web项目,是一套用于创建企业级Java Web应用的开源MVC框架。 在受影响…

    2023年12月8日
    0
  • Apache Dubbo 反序列化漏洞 (CVE-2023-29234)

    漏洞类型 反序列化 发现时间 2023-12-15 漏洞等级 中危 MPS编号 MPS-2023-9469 CVE编号 CVE-2023-29234 漏洞影响广度 广 漏洞危害 OSCS 描述 Apache Dubbo 是一款易用、高性能的 WEB 和 RPC 框架。 受影响版本中,由于 ObjectInput.java 文件中 readThrowable …

    2023年12月18日
    0
  • Argo CD 集群密钥泄漏风险 (CVE-2023-40029)

    漏洞类型 未授权敏感信息泄露 发现时间 2023-09-08 漏洞等级 严重 MPS编号 MPS-jby0-dvsh CVE编号 CVE-2023-40029 漏洞影响广度 广 漏洞危害 OSCS 描述 Argo CD 是用于 Kubernetes 的声明性 GitOps 持续交付工具,Kubernetes 集群密钥存储在 kubectl.kubernete…

    2023年9月11日
    0
  • Apache Ambari < 2.7.8 XXE注入漏洞 (CVE-2023-50380)

    漏洞类型 XXE 发现时间 2024-02-28 漏洞等级 高危 MPS编号 MPS-2950-d3zu CVE编号 CVE-2023-50380 漏洞影响广度 小 漏洞危害 OSCS 描述 Apache Ambari 是一个用于配置、管理和监控 Apache Hadoop 集群的工具。 Apache Ambari

    2024年2月29日
    0