Apache Batik（又名Batik SVG Toolkit或Batik Java SVG Toolkit）是美国阿帕奇（Apache）软件基金会的一套基于Java的主要用于处理SVG格式图像的应用程序。
Apache Batik 1.10之前的1.x版本中存在信息泄露漏洞。攻击者可利用该漏洞获取敏感信息。
FasterXML Jackson-databind服务器端请求伪造漏洞
SSRF
FasterXML Jackson是美国FasterXML公司的一款用于Java的数据处理工具。Jackson-databind是其中的一个具有数据绑定功能的组件。
FasterXML Jackson-databind 2.9.7之前的2.x版本中存在服务器端请求伪造漏洞，远程攻击者可利用该漏洞执行服务器端请求伪造攻击。
Apache Log4j SQL注入漏洞
SQL注入
根据设计，Log4j 1.2.x 中的 JDBCAppender 接受 SQL 语句作为配置参数，其中要插入的值是来自 PatternLayout 的转换器。消息转换器 %m 可能总是包含在内。这允许攻击者通过将精心制作的字符串输入到记录的应用程序的输入字段或标题中来操纵 SQL，从而允许执行意外的 SQL 查询。请注意，此问题仅在专门配置为使用 JDBCAppender（不是默认设置）时才会影响 Log4j 1.x。从 2.0-beta8 版本开始，重新引入了 JDBCAppender，适当支持参数化 SQL 查询，并进一步自定义写入日志的列。 Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。
XStream 是一个简单的库，用于将对象序列化为 XML 并再次返回。在受影响的版本中，此漏洞可能允许远程攻击者仅通过操纵已处理的输入流来从远程主机加载和执行任意代码。没有用户受到影响，他们按照建议设置 XStream 的安全框架，白名单仅限于所需的最少类型。默认情况下，XStream 1.4.18 不再使用黑名单，因为它不能被保护用于一般用途。
XStream 是一个 Java 库，用于将对象序列化为 XML 并再次返回。在 1.4.16 之前的 XStream 中，存在一个漏洞，该漏洞可能允许远程攻击者根据 CPU 类型或此类有效负载的并行执行在目标系统上分配 100% 的 CPU 时间，从而仅通过操纵处理过的输入来导致拒绝服务溪流。遵循建议设置 XStream 的安全框架的用户不会受到影响，白名单仅限于所需的最少类型。如果您依赖 XStream 的默认安全框架黑名单，则必须至少使用 1.4.16 版本。
Apache Commons Email 输入验证漏洞
输入验证不恰当
Apache Commons Email是美国阿帕奇（Apache）软件基金会的一个提供电子邮件发送功能的应用程序编程接口。
Apache Commons Email 1.0至1.4版本中存在安全漏洞。攻击者可利用该漏洞添加任意SMTP头。
Apache Commons-Email 输入验证漏洞
输入验证不恰当
Apache Commons-Email是美国阿帕奇（Apache）软件基金会的一个提供电子邮件发送功能的应用程序编程接口。
Apache Commons-Email 1.0版本至1.4版本中存在信息泄露漏洞，该漏洞源于程序没有正确的验证输入。远程攻击者可借助特制的数据利用该漏洞获取敏感信息。
FasterXML Jackson-databind代码问题漏洞
反序列化
FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。
FasterXML jackson-databind 2.7.9.4之前版本、2.8.11.2之前版本和2.9.6之前版本中存在安全漏洞。攻击者可利用该漏洞执行执行代码。
FasterXML jackson-databind 代码问题漏洞
反序列化
FasterXML jackson-databind是一个基于JAVA可以将XML和JSON等数据格式与JAVA对象进行转换的库。Jackson可以轻松的将Java对象转换成json对象和xml文档，同样也可以将json、xml转换成Java对象。
jackson-databind before 2.9.10.7 存在代码问题漏洞，该漏洞源于fastxml错误地处理了序列化小部件和类型之间的交互。
Apache Tomcat 输入验证错误漏洞
输入验证不恰当
Apache Tomcat是美国阿帕奇（Apache）软件基金会的一款轻量级Web应用服务器。该程序实现了对Servlet和JavaServer Page（JSP）的支持。Apache Commons FileUpload是使用在其中的一个可将文件上传到Servlet和Web应用程序的软件包。
Apache Tomcat的Apache Commons Fileupload 1.3.2之前版本中存在输入验证错误漏洞。该漏洞源于网络系统或产品未对输入的数据进行正确的验证。以下版本受到影响：Apache Tomcat 9.0.0.M1版本至9.0.0M6版本，8.5.0版本至8.5.2版本，8.0.0.RC1版本至8.0.35版本，7.0.0版本至7.0.69版本。
XStream是XStream（Xstream）团队的一个轻量级的、简单易用的开源Java类库，它主要用于将对象序列化成XML（JSON）或反序列化为对象。
XStream 1.4.16 之前版本存在代码问题漏洞，该漏洞源于远程攻击者仅通过操作已处理的输入流，就可以从远程主机加载和执行任意代码。
Apache Shiro 权限绕过漏洞
授权机制不正确
Apache Shiro 的 RegexRequestMatcher 可能被错误配置为在某些 servlet 容器上被绕过。在正则表达式中使用带有 `.` 的 RegExPatternMatcher 的应用程序可能容易受到授权绕过的攻击。
攻击者可利用该漏洞绕过权限认证。
FasterXML jackson-databind 代码问题漏洞
反序列化
2.9.10.8 之前的 FasterXML jackson-databind 2.x 错误处理了与 org.apache.commons.dbcp2.cpdsadapter.DriverAdapterCPDS 相关的序列化小工具和类型之间的交互。
FasterXML jackson-databind 代码问题漏洞
反序列化
2.9.10.8 之前的 FasterXML jackson-databind 2.x 错误处理了与 org.apache.tomcat.dbcp.dbcp.datasources.SharedPoolDataSource 相关的序列化小工具和类型之间的交互。
XStream 是一个简单的库，用于将对象序列化为 XML 并再次返回。在受影响的版本中，此漏洞可能允许远程攻击者仅通过操纵已处理的输入流来从远程主机加载和执行任意代码。没有用户受到影响，他们按照建议设置 XStream 的安全框架，白名单仅限于所需的最少类型。默认情况下，XStream 1.4.18 不再使用黑名单，因为它不能被保护用于一般用途。
FasterXML jackson-databind任意代码执行漏洞
反序列化
FasterXML Jackson是美国FasterXML公司的一款用于Java的数据处理工具。Jackson-databind是其中的一个具有数据绑定功能的组件。
FasterXML Jackson-databind 2.9.7之前的2.x版本中存在任意代码执行漏洞，该漏洞源于程序接收了多态反序列化的slf4j-ext类，远程攻击者可利用该漏洞执行任意代码。
FasterXML jackson-databind 代码问题漏洞
反序列化
FasterXML jackson-databind是一个基于JAVA可以将XML和JSON等数据格式与JAVA对象进行转换的库。Jackson可以轻松的将Java对象转换成json对象和xml文档，同样也可以将json、xml转换成Java对象。
FasterXML jackson-databind 2.0.0版本至2.9.10版本中存在代码问题漏洞。该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。攻击者可利用该漏洞执行任意代码。
FasterXML jackson-databind 代码问题漏洞
反序列化
FasterXML Jackson是美国FasterXML公司的一款适用于Java的数据处理工具。jackson-databind是其中的一个具有数据绑定功能的组件。
FasterXML jackson-databind 2.0.0版本至2.9.10版本中存在代码问题漏洞。该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。攻击者可利用该漏洞执行恶意的payload。
MyBatis是美国阿帕奇（Apache）软件基金会的一款优秀的持久层框架。支持自定义 SQL、存储过程以及高级映射，免除了几乎所有的 JDBC 代码以及设置参数和获取结果集的工作， 可以通过简单的 XML 或注解来配置和映射原始类型、接口和 Java POJO（Plain Old Java Objects，普通老式 Java 对象）为数据库中的记录。
MyBatis 3.5.6之前版本存在代码问题漏洞，该漏洞源于网络系统或产品的代码开发过程中存在设计或实现不当的问题。
dom4j是一款支持DOM、SAX、JAXP和Java平台的用于处理XML文件的开源框架。
dom4j 2.1.1之前版本中的Class:Element存在安全漏洞，该漏洞源于程序没有验证输入。攻击者可通过指定XML文档中的属性或元素利用该漏洞执行篡改操作。
评论