jackson-mapper-asl 代码问题漏洞
XXE
jackson-mapper-asl是一款基于Jackson JSON处理器构建的数据映射软件包。
jackson-mapper-asl 1.9.x版本中存在代码问题漏洞。远程攻击者可借助特制数据利用该漏洞获取敏感信息。
Pivotal Software Spring Framework‘JavaScriptUtils.javaScriptEscape()’方法跨站脚本漏洞
XSS
Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、Java EE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Pivotal Software Spring Framework (Spring MVC) 3.0.0至3.2.1版本中存在跨站脚本漏洞，该漏洞源于程序没有正确过滤用户提交的输入。当用户浏览被影响的网站时，其浏览器将执行攻击者提供的任意脚本代码。这可能导致攻击者窃取基于cookie的身份认证并发起其它攻击。
Apache Log4j 信任管理问题漏洞
证书验证不恰当
Apache Log4j是美国阿帕奇（Apache）基金会的一款基于Java的开源日志记录工具。
Apache Log4j中存在信任管理问题漏洞，该漏洞源于SmtpAppender没有验证主机名称与SMTPS连接的SSL/TLS证书是否匹配。攻击者可通过实施中间人攻击利用该漏洞拦截SMTPS连接，获取日志消息。
Oracle MySQL Connectors输入验证错误漏洞
授权机制不恰当
Oracle MySQL是美国甲骨文（Oracle）公司的一套开源的关系数据库管理系统。MySQL Connectors是其中的一个连接使用MySQL的应用程序的驱动程序。Oracle MySQL Connectors (组件: Connector/J) 8.0.27及之前版本存在输入验证错误漏洞。攻击者可利用该漏洞通过多种协议进行网络访问，从而破坏Oracle MySQL Connectors，导致Oracle MySQL Connectors被接管。
Vmware Spring Framework 安全特征问题漏洞
大小写敏感处理不恰当
Vmware Spring Framework是美国威睿（Vmware）公司的一套开源的Java、JavaEE应用程序框架。
Vmware Spring Framework的disallowedFields 模式区分大小写，这意味着除非字段同时列出字段的第一个字符小写，包括属性路径中所有嵌套字段的第一个字符的大写和小写，否则远程攻击者利用该漏洞可以绕过实施的安全限制。
Spring Framework 多个XML外部实体注入漏洞
权限、特权和访问控制
Pivotal Software Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Spring Framework 3.2.4之前版本和4.0.0.M1版本中的Spring OXM包装器中存在安全漏洞，该漏洞源于当使用JAXB封送处理器时，程序没有禁用实体解析。攻击者可通过外部实体声明与在（1）DOMSource，（2）StAXSource，（3）SAXSource，或（4）StreamSource中的实体引用相结合，利用该漏洞读取任意文件，导致拒绝服务，并实施跨站请求伪造攻击。
Pivotal Software Spring Framework 路径遍历漏洞
路径遍历
Pivotal Software Spring Framework是美国Pivotal Software公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Pivotal Software Spring Framework 3.2.18之前版本、4.2.9之前的4.2.x版本和4.3.5之前的4.3.x版本中存在路径遍历漏洞，该漏洞源于网络系统或产品未能正确地过滤资源或文件路径中的特殊元素。攻击者可利用该漏洞访问受限目录之外的位置。
Oracle MySQL Connectors 输入验证错误漏洞
使用不兼容类型访问资源（类型混淆）
Oracle MySQL是美国甲骨文（Oracle）公司的一套开源的关系数据库管理系统。MySQL Connectors是其中的一个连接使用MySQL的应用程序的驱动程序。
Oracle MySQL中的MySQL Connectors组件8.0.15及之前版本的Connector/J子组件存在安全漏洞。攻击者可利用该漏洞控制组件，影响数据的保密性、完整性和可用性。
Pivotal Spring Framework 跨站脚本漏洞
XSS
Pivotal Software Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Spring Framework 3.2.7及之前版本和4.0.1及之前版本的Spring MVC中的web/servlet/tags/form/FormTag.java文件中存在跨站脚本漏洞。远程攻击者可利用该漏洞注入任意Web脚本或HTML。
Pivotal Software Spring Framework 目录遍历漏洞
路径遍历
Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、Java EE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Pivotal Software Spring Framework 3.2.9之前3.x版本和4.0.5之前4.0版本中存在目录遍历漏洞。远程攻击者可借助特制的URL利用该漏洞读取任意文件。
Vmware Spring Framework 注入漏洞
输入验证不恰当
Vmware Spring Framework是美国威睿（Vmware）公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Spring Framework 存在注入漏洞，该漏洞源于通过日志注入绕过 Spring Framework 的访问限制，以更改数据。
spring-beans 远程代码执行漏洞(Spring4Shell)
表达式注入
spring-beans 负责实现 Spring 框架的 IOC 模块。
CVE-2010-1622 中曾出现由于参数自动绑定机制导致的问题， 通过黑名单的方式修复了该漏洞，但是 JDK9之后引入了 Module，使得可以通过 getModule 绕过前者的黑名单限制，导致远程代码执行。
org.springframework:spring-beans的5.3.0 至 5.3.17、5.2.0.RELEASE 至
5.2.19.RELEASE 版本都受到影响。
Spring Framework 外部实体注入漏洞
Spring Framework 3.2.5 之前的 Spring MVC 中的 SourceHttpMessageConverter 和 4.0.0.M1 到 4.0.0.RC1 没有禁用外部实体解析，这使得远程攻击者可以读取任意文件，导致拒绝服务，并进行 CSRF 攻击通过精心设计的 XML，即 XML 外部实体 (XXE) 问题，以及与 CVE-2013-4152 和 CVE-2013-7315 不同的漏洞。
Pivotal Spring Security 安全漏洞
认证机制不恰当
Pivotal Spring Security是美国Pivotal Software公司的一套为基于Spring的应用程序提供说明性安全保护的安全框架。
Pivotal Spring Security中的ActiveDirectoryLdapAuthenticator存在安全漏洞，该漏洞源于程序没有检测密码长度。攻击者可借助空密码利用该漏洞绕过用户身份验证。以下版本受到影响：Spring Security 3.2.0版本至3.2.1版本，3.1.0版本至3.1.5版本。
当攻击者对 Log4j 配置具有写访问权限时，Log4j 1.2 中的 JMSAppender 容易受到不受信任数据的反序列化。攻击者可以提供 TopicBindingName 和 TopicConnectionFactoryBindingName 配置，导致 JMSAppender 执行 JNDI 请求，从而以类似于 CVE-2021-44228 的方式执行远程代码。请注意，此问题仅在专门配置为使用 JMSAppender（不是默认设置）时影响 Log4j 1.2。 Apache Log4j 1.2 已于 2015 年 8 月结束生命周期。用户应升级到 Log4j 2，因为它解决了以前版本中的许多其他问题。
org.springframework.security:spring-security-web 存在通过时间差异性导致的信息暴露漏洞
通过时间差异性导致的信息暴露
org.springframework.security:spring-security-web 是 Spring Security 中的一个包，它为 Spring IO 平台提供安全服务。此软件包的受影响版本容易受到时序攻击。攻击者有可能通过定时攻击窃取 CSRF 令牌。
Apache Commons Collections 远程代码执行漏洞
反序列化
Apache Commons Collections 是对Java 集合的扩展。
该组件从3.0起引入的InvokerTransformer类可被用于构造执行任意代码，作为反序列化等漏洞的跳板（gadget），从而执行任意系统命令。
Spring Framework 权限许可和访问控制漏洞
权限、特权和访问控制
Pivotal Software Pivotal Spring Framework是美国Pivotal Software公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。
Spring Framework 3.2.4之前版本，及4.0.0.M1至4.0.0.M2版本中的Spring MVC中存在安全漏洞，该漏洞源于程序没有对StAX XMLInputFactory禁用外部实体解析。攻击者可借助带有JAXB的特制XML文件利用该漏洞读取任意文件，造成拒绝服务，并实施跨站请求伪造攻击。
Red Hat Hibernate ORM SQL注入漏洞
SQL注入
Red Hat Hibernate ORM是美国红帽（Red Hat）公司的一款用于编写应用程序的对象/关系映射（ORM）框架。
Red Hat Hibernate ORM 5.3.18之前版本、5.4.18之前版本和5.5.0.Beta1之前版本中的JPA Criteria API的实现存在SQL注入漏洞。
攻击者可利用该漏洞访问未授权的信息或进行进一步的攻击。
Vmware Spring Framework存在未明漏洞
输入验证不恰当
Vmware Spring Framework是美国威睿（Vmware）公司的一套开源的Java、JavaEE应用程序框架。该框架可帮助开发人员构建高质量的应用。Vmware Spring Framework存在安全漏洞，攻击者可利用该漏洞通过日志注入绕过Spring框架的访问限制从而修改数据。
评论