PT-2025-27409 · Apache · Apache Eventmesh

Publicado 2025-06-30 · Atualizado 2025-08-20 · CVE-2024-39954

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache EventMesh anteriores à 1.12.0

Descrição: Este problema é uma Falsificação de Solicitação no Lado do Servidor (SSRF) no módulo eventmesh-runtime, especificamente no arquivo WebhookUtil.java, afetando os sistemas operacionais Windows, Linux e macOS. A falha permite que um atacante explore a funcionalidade do servidor para ler ou atualizar recursos internos. A SSRF ocorre quando um servidor processa dados fornecidos pelo usuário de forma que o leva a fazer solicitações para locais não pretendidos.

Recomendações: Atualize para a versão 1.12.0 ou utilize o branch master para resolver este problema.

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2024-39954

GHSA-HF86-8X8V-H7VC

Produtos afetados

Apache Eventmesh

Referências · 10

• https://github.com/apache/eventmesh · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-39954 · Nota de Segurança
• https://t.me/cveNotify/132880 · Publicação no Telegram
• https://t.me/CVEtracker/30455 · Publicação no Telegram
• https://twitter.com/oss_security/status/1939545730420527229 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1958100797881016794 · Publicação no Twitter
• https://lists.apache.org/thread/v6c96zygqx8xc2k3n2d59mgnm5txhkon · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2024-39954 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-hf86-8x8v-h7vc · Aviso do Fabricante
• https://t.me/cveNotify/132906 · Publicação no Telegram