CVE-2021-28169

For Eclipse Jetty versions

Résumé

Jetty Utility Servlets ConcatServlet Double Decoding Information Disclosure Vulnerability

Description d'origine

La description telle que publiée par la source (souvent en anglais).

For Eclipse Jetty versions <= 9.4.40, <= 10.0.2, <= 11.0.2, it is possible for requests to the ConcatServlet with a doubly encoded path to access protected resources within the WEB-INF directory. For example a request to /concat?/%2557EB-INF/web.xml can retrieve the web.xml file. This can reveal sensitive information regarding the implementation of a web application.

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Paquets affectés

Maven org.eclipse.jetty:jetty-servlets

[{"type":"ECOSYSTEM","events":[{"introduced":"11.0.0"},{"fixed":"11.0.3"}]}]

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Debian DEBIAN-CVE-2021-28169 jetty9 Corrigé dans: 9.4.39-2

Références

Métadonnées

CVE: CVE-2021-28169
GHSA: GHSA-gwcr-j4wh-j3cq
Publication: 2021-06-09
Première détection SecPulse: il y a 5 ans
Source initiale: OSV.dev (Open Source Vulnerabilities)

CWE

CWE-200

Sources de détection

OSV.dev (Open Source Vulnerabilities) il y a 1 mois