FICHE CVE

CVE-2020-17531

Publiée le 2020-12-08 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les applications Apache Tapestry 4 sont vulnérables à une faille permettant au système de traiter des données non approuvées avant d'avoir vérifié l'identité de l'utilisateur. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête spécialement conçue pour exécuter du code arbitraire sur le serveur, prenant potentiellement le contrôle total du système. Comme cela ne nécessite aucune interaction de l'utilisateur ni d'identifiants de connexion, l'exploitation par un attaquant distant est triviale.

CVSS 3.19.8 CRITIQUE

Type de faiblesse

Désérialisation non sûre · CWE-502

Publiée2020-12-08

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéÉlevé

RÉFÉRENCES

Description officielle du NVD (en anglais)

A Java Serialization vulnerability was found in Apache Tapestry 4. Apache Tapestry 4 will attempt to deserialize the "sp" parameter even before invoking the page's validate method, leading to deserialization without authentication. Apache Tapestry 4 reached end of life in 2008 and no update to address this issue will be released. Apache Tapestry 5 versions are not vulnerable to this issue. Users of Apache Tapestry 4 should upgrade to the latest Apache Tapestry 5 version.