Apache Shiro FORM 重定向漏洞 (CVE-2023-46750)

漏洞类型 跨站重定向 发现时间 2023-11-12 漏洞等级 低危
MPS编号 MPS-14×5-9n6b CVE编号 CVE-2023-46750 漏洞影响广度

漏洞危害

OSCS 描述
Apache Shiro 是一个开源的Java安全框架,用于简化应用程序的身份验证、授权、加密和会话管理等安全相关的操作。
在受影响版本中,由于在FORM身份验证中没有对认证后重定向的页面做验证,攻击者可以构造恶意的URL,使得用户重定向到恶意的URL地址。
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
org.apache.shiro:shiro-web [1.0.0-incubating, 1.13.0) 升级 将组件 org.apache.shiro:shiro-web 升级至 1.13.0 及以上版本
org.apache.shiro:shiro-web [2.0.0-alpha-1, 2.0.0-alpha-4) 升级 将组件 org.apache.shiro:shiro-web 升级至 2.0.0-alpha-4 及以上版本
参考链接:https://www.oscs1024.com/hd/MPS-14×5-9n6b

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-14×5-9n6b

https://shiro.apache.org/blog/2023/11/10/apache-shiro-1130-released.html

https://github.com/apache/shiro/commit/8400d08d5eac0bc4fae99d28c5adc82dd8a86eda

https://github.com/apache/shiro/commit/d62387dc576a56a694f0353b3245a892f2f28835

(0)
上一篇 2023年11月10日 下午2:00
下一篇 2023年11月16日 下午12:00

相关推荐

  • Oracle WebLogic Server 存在远程代码执行漏洞 (CVE-2023-22089)

    漏洞类型 授权机制不恰当 发现时间 2023-10-18 漏洞等级 严重 MPS编号 MPS-2022-68674 CVE编号 CVE-2023-22089 漏洞影响广度 一般 漏洞危害 OSCS 描述 Oracle WebLogic Server是一个用于构建、部署和管理企业级Java应用程序。 Oracle WebLogic Server受影响版本存在远…

    2023年10月19日
    0
  • pgjdbc 存在SQL注入漏洞 (CVE-2024-1597)

    漏洞类型 SQL注入 发现时间 2024-02-19 漏洞等级 严重 MPS编号 MPS-1wko-hvgp CVE编号 CVE-2024-1597 漏洞影响广度 小 漏洞危害 OSCS 描述 pgjdbc 是PostgreSQL的JDBC驱动程序。 pgjdbc 受影响版本中配置为使用简单查询模式(preferQueryMode=SIMPLE,非默认情况)…

    2024年2月20日
    0
  • Metabase 基于H2引擎的远程代码执行漏洞 (CVE-2023-37470) [有POC]

    漏洞类型 代码注入 发现时间 2023/7/31 漏洞等级 严重 MPS编号 MPS-s5nj-29cx CVE编号 CVE-2023-37470 漏洞影响广度 广 漏洞危害 OSCS 描述 Metabase 是一个开源的数据分析和可视化工具。由于 CVE-2023-38646 的补丁(从H2 JDBC连接字符串中删除INIT脚本以防止命令注入)修复不完全,…

    2023年8月11日
    0
  • Coremail 远程命令执行漏洞 (MPS-mw17-2f3h)

    漏洞类型 命令注入 发现时间 2023-08-21 漏洞等级 严重 MPS编号 MPS-mw17-2f3h CVE编号 – 漏洞影响广度 一般 漏洞危害 OSCS 描述 Coremail是广东盈世计算机科技有限公司推出的一款大型企业邮件系统。在 Coremail XT5/XT6 版本中,邮件处理功能存在溢出风险,攻击者构造恶意邮件,向任意邮箱地址…

    2023年8月22日
    0
  • Google Chrome <116.0.5845.96 任意文件读取漏洞【poc已公开】 (CVE-2023-4357)

    漏洞类型 输入验证不恰当 发现时间 2023-11-17 漏洞等级 高危 MPS编号 MPS-cv7p-l1wh CVE编号 CVE-2023-4357 漏洞影响广度 广 漏洞危害 OSCS 描述 Google Chrome 是 Google 公司开发的网页浏览器。 Google Chrome 在116.0.5845.96版本之前,默认使用的xsl库调用do…

    2023年11月20日
    0