9.8
CVSS 3.1
2,6%
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
All versions of the package com.bstek.uflo:uflo-core are vulnerable to Remote Code Execution (RCE) in the ExpressionContextImpl class via jexl.createExpression(expression).evaluate(context); functionality, due to improper user input validation.
Засегнати продукти
- n/a com.bstek.uflo:uflo-core: всички версии
Вид слабост
История
- 25 януари 2023 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2022-25894
- https://nvd.nist.gov/vuln/detail/CVE-2022-25894
- https://security.snyk.io/vuln/SNYK-JAVA-COMBSTEKUFLO-3091112
- https://github.com/youseries/uflo/blob/b3e198bc6523e5a6ba69edd84ba10e05a3b78726/uflo-core/src/main/java/com/bstek/uflo/expr/impl/ExpressionContextImpl.java%23L126
- https://fmyyy1.github.io/2022/10/23/uflo2rce/