CVE-2025-58782 (CNNVD-202509-1097)

MEDIUM
中文标题:
Apache Jackrabbit Core和Apache Jackrabbit JCR Commons 安全漏洞
英文标题:
Apache Jackrabbit Core, Apache Jackrabbit JCR Commons: JNDI injection risk with JndiRepositoryFactory
CVSS分数: 6.5
发布时间: 2025-09-08 08:53:15
漏洞类型: 其他
状态: PUBLISHED
数据质量分数: 0.40
数据版本: v3
漏洞描述
中文描述:

Apache Jackrabbit Core和Apache Jackrabbit JCR Commons都是Apache基金会的产品。Apache Jackrabbit Core是一个内容库核心。Apache Jackrabbit JCR Commons是一个通用工具库。 Apache Jackrabbit Core 1.0.0至2.22.1版本和Apache Jackrabbit JCR Commons 1.0.0至2.22.1版本存在安全漏洞，该漏洞源于反序列化不受信任数据，可能导致执行任意代码。

英文描述:

Deserialization of Untrusted Data vulnerability in Apache Jackrabbit Core and Apache Jackrabbit JCR Commons. This issue affects Apache Jackrabbit Core: from 1.0.0 through 2.22.1; Apache Jackrabbit JCR Commons: from 1.0.0 through 2.22.1. Deployments that accept JNDI URIs for JCR lookup from untrusted users allows them to inject malicious JNDI references, potentially leading to arbitrary code execution through deserialization of untrusted data. Users are recommended to upgrade to version 2.22.2. JCR lookup through JNDI has been disabled by default in 2.22.2. Users of this feature need to enable it explicitly and are adviced to review their use of JNDI URI for JCR lookup.

CWE类型:
CWE-502
标签:
（暂无数据）
受影响产品
厂商 产品 版本 版本范围 平台 CPE
Apache Software Foundation Apache Jackrabbit Core - ≤ 2.22.1 - cpe:2.3:a:apache_software_foundation:apache_jackrabbit_core:*:*:*:*:*:*:*:*
Apache Software Foundation Apache Jackrabbit JCR Commons - ≤ 2.22.1 - cpe:2.3:a:apache_software_foundation:apache_jackrabbit_jcr_commons:*:*:*:*:*:*:*:*
apache jackrabbit * - - cpe:2.3:a:apache:jackrabbit:*:*:*:*:*:*:*:*
apache jackrabbit_jcr_commons * - - cpe:2.3:a:apache:jackrabbit_jcr_commons:*:*:*:*:*:*:*:*
解决方案
中文解决方案:
（暂无数据）
英文解决方案:
（暂无数据）
临时解决方案:
（暂无数据）
参考链接
无标题 vendor-advisory
cve.org
访问
af854a3a-2127-422b-91ae-364da2661108 OTHER
nvd.nist.gov
访问
CVSS评分详情
3.1 (adp)
MEDIUM
6.5
CVSS向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N
机密性
LOW
完整性
LOW
可用性
NONE
时间信息
发布时间:
2025-09-08 08:53:15
修改时间:
2025-11-04 21:13:47
创建时间:
2025-11-11 15:40:46
更新时间:
2026-01-12 02:27:54
利用信息
暂无可利用代码信息
数据源详情
数据源 记录ID 版本 提取时间
CVE cve_CVE-2025-58782 2025-11-11 15:23:31 2025-11-11 07:40:46
NVD nvd_CVE-2025-58782 2025-11-11 15:01:02 2025-11-11 07:48:33
CNNVD cnnvd_CNNVD-202509-1097 2025-11-11 15:12:56 2025-11-11 08:00:09
版本与语言
当前版本: v3
主要语言: EN
支持语言:
EN ZH
安全公告
暂无安全公告信息
变更历史
v3 CNNVD
2025-11-11 16:00:09
vulnerability_type: 未提取 → 其他; cnnvd_id: 未提取 → CNNVD-202509-1097; data_sources: ['cve', 'nvd'] → ['cnnvd', 'cve', 'nvd']
查看详细变更
  • vulnerability_type: 未提取 -> 其他
  • cnnvd_id: 未提取 -> CNNVD-202509-1097
  • data_sources: ['cve', 'nvd'] -> ['cnnvd', 'cve', 'nvd']
v2 NVD
2025-11-11 15:48:33
affected_products_count: 2 → 4; references_count: 1 → 2; data_sources: ['cve'] → ['cve', 'nvd']
查看详细变更
  • affected_products_count: 2 -> 4
  • references_count: 1 -> 2
  • data_sources: ['cve'] -> ['cve', 'nvd']