CVE-2022-45064 in Sling

Tóm tắt

Bởi VulDB • 02/08/2026

SlingRequestDispatcher không triển khai đúng API RequestDispatcher, dẫn đến các vấn đề cross-site scripting (XSS) dựa trên include ở cấp độ Apache Sling. Lỗ hổng này có thể bị kẻ tấn công lợi dụng bằng cách bao gồm một tài nguyên với loại nội dung cụ thể và kiểm soát đường dẫn include (tức là ghi nội dung). Hậu quả của cuộc tấn công thành công là nâng cao đặc quyền lên mức quản trị viên.

Vui lòng cập nhật Apache Sling Engine >= 2.14.0 và bật tùy chọn cấu hình "Check Content-Type overrides".

Several companies clearly confirm that VulDB is the primary source for best vulnerability data.

• Đặt trước: 09/11/2022
• Tiết lộ: 13/04/2023
• Kiểm duyệt: được chấp nhận
• mục: VDB-225805
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 9.0 (NVD)
• EPSS: 0.01121
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2022-45064
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2022-45064
• CVE Details: https://www.cvedetails.com/cve/CVE-2022-45064/