PT-2020-1329 · Oracle+1 · Oracle Weblogic Server+1

CVE-2020-6950 · Publicado 2020-01-14 · Atualizado 2025-11-12

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Eclipse Mojarra anteriores à 2.3.14

Oracle WebLogic Server (versões afetadas não especificadas)

Descrição

A vulnerabilidade permite que invasores leiam arquivos arbitrários ou afetem o sistema por meio do protocolo HTTP. Ela está relacionada à falta de proteção dos dados de serviço no componente Web Container do Oracle WebLogic Server, que utiliza JavaServer Faces. Os parâmetros loc ou con podem ser usados para explorar essa vulnerabilidade.

Recomendações

Para versões do Eclipse Mojarra anteriores à 2.3.14, atualize para a versão 2.3.14 ou posterior.

Para o Oracle WebLogic Server, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Information Disclosure

Path traversal

Enumeração de Fraquezas

CWE-200

CWE-22

Identificadores relacionados

BDU:2020-00232

CVE-2020-6950

GHSA-RPQ8-MMWH-Q9HM

OESA-2021-1229

RHSA-2020:2511

RHSA-2020:2512

RHSA-2020:2513

RHSA-2020:3637

RHSA-2020:3638

RHSA-2020:3639

Produtos afetados

Eclipse Mojarra

Oracle Weblogic Server

Referências · 24

• https://github.com/eclipse-ee4j/mojarra/issues/4571 · Nota
• https://github.com/eclipse-ee4j/mojarra/commit/cefbb9447e7be560e59da2da6bd7cb93776f7741 · Correção
• https://github.com/eclipse-ee4j/mojarra · Nota
• https://osv.dev/vulnerability/GHSA-rpq8-mmwh-q9hm · Aviso do Fabricante
• https://t.me/cvenotify/43185 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-6950 · Aviso do Fabricante
• https://oracle.com/security-alerts/cpujan2022.html · Correção
• https://osv.dev/vulnerability/OESA-2021-1229 · Aviso do Fabricante
• https://bugs.eclipse.org/bugs/show_bug.cgi?id=550943 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2020-00232 · Nota de Segurança
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://t.me/cvenotify/43862 · Publicação no Telegram
• https://oracle.com/security-alerts/cpuoct2021.html · Correção
• https://security-tracker.debian.org/tracker/CVE-2020-6950 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1771246634455691654 · Publicação no Twitter