CVE-2020-13953 | Apache Tapestry WEB-INF文件下载缝隙公告

颁布功夫 2020-09-27

0x00 缝隙概述

CVE  ID

CVE-2020-13953

时   间

2020-09-27

类   型


等   级

中危

远程利用

是

影响领域

Tapestry 5.4.0-5.5.0


Apache Tapestry是一个使用Java说话编写的开源框架 ，，，用于创建动态的、、、壮实的、、、高矫捷性的web利用法式。。Tapestry框架构筑在尺度的Java Servlet API之上 ，，，因而它可能很好地兼容任何servlet容器或者利用服务。。Tapestry拥有很多安全职能 ，，，旨在加强利用法式免受不用要的入侵和回绝服务的侵害。。

0x01 缝隙详情

图片.png

 

2020年09月26日 ，，，Apache Tapestry中被露出出存在一个文件下载缝隙。。缝隙追踪为CVE-2020-13953 ，，，其缝隙等级为中危。。攻击者可通过恶意的URL下载WEB-INF中的文件。。


0x02 措置建议

将Apache Tapestry升级到 5.6.0或更高版本。。

下载链接：：

https://tapestry.apache.org/download.html

0x03 参考链接

https://www.mail-archive.com/users@tapestry.apache.org/msg77276.html

https://seclists.org/oss-sec/2020/q3/197

https://tapestry.apache.org/security.html

0x04 功夫线

2020-09-26  Apache颁布安全布告

2020-09-27  VSRC颁布安全公告

0x05 附录

CVSS评分尺度官网：：http://www.first.org/cvss/



图片.png