PT-2021-19461 · Jfinal · Jfinal

Publicado 2021-06-24 · Atualizado 2022-05-24 · CVE-2021-31649

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 4.9.08 e anteriores do jfinal

Descrição

O problema está relacionado a uma vulnerabilidade de desserialização ao usar o Redis, o que pode levar à execução remota de código. Essa vulnerabilidade afeta aplicativos que utilizam a estrutura jfinal.

Recomendações

Para as versões 4.9.08 e anteriores, considere desativar o recurso de deserialização ao usar o redis como uma solução temporária até que um patch esteja disponível. Restrinja o acesso à interface do redis para minimizar o risco de exploração.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2021-31649

GHSA-H3J8-FR5Q-8RFR

Produtos afetados

Jfinal

Referências · 6

• 🔥 http://note.youdao.com/noteshare?id=787ccbb8345dbd4a905aebe35f1d8aa8&sub=6C5C072C901949429EFD978405212FA4 · Exploit
• 🔥 https://note.youdao.com/ynoteshare1/index.html?id=787ccbb8345dbd4a905aebe35f1d8aa8&type=note · Exploit
• https://github.com/jfinal/jfinal/issues/184 · Nota
• https://osv.dev/vulnerability/GHSA-h3j8-fr5q-8rfr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-31649 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-31649 · Nota de Segurança