Critical Security Vulnerability in Apache Tomcat (CVE-2025-24813) Affecting WebAPI
Maintainer thường phản hồi trong vòng 1 ngày
Chưa có ai nhận issue này.
Đánh giá
- Độ khó
- 4/5
- Thời gian dự kiến
- 3-5 ngày
- Mức phù hợp với người mới
- 35/100
Hướng nghiên cứu
Bắt đầu bằng cách xác định các khai báo dependency của WebAPI cho tomcat-embed-core 8.5.43 và catalina.jar 9.0.89. Xác minh rằng các component bị ảnh hưởng đã được nâng cấp lên các phiên bản đã được vá và xem xét cách Default Servlet xử lý việc upload file theo yêu cầu xác thực tên file đã nêu; được xem là hoàn tất khi các phiên bản dễ bị tấn công và các rủi ro upload đã được báo cáo được xử lý.
Do mô hình lập chỉ mục viết ra từ nội dung của issue.
Mô tả
We have identified a critical security vulnerability (CVE-2025-24813) in Apache Tomcat components used by WebAPI. This issue allows Remote Code Execution (RCE), information disclosure, and potential injection of malicious content through the Default Servlet when handling file uploads.
Details:
CVE: CVE-2025-24813
Severity: Critical
Affected Components:
- tomcat-embed-core version 8.5.43
- catalina.jar version 9.0.89
Exploit Availability: Confirmed
Description:
Path Equivalence vulnerability in Apache Tomcat can lead to RCE and other security risks. Affected versions include:
11.0.0-M1 through 11.0.2
10.1.0-M1 through 10.1.34
9.0.0.M1 through 9.0.98
EOL versions: 8.5.0 through 8.5.100
Recommended Fix:
Upgrade to one of the patched versions: 11.0.3, 10.1.35, 9.0.99
Validate file names to prevent path traversal attacks.
- Ngôn ngữ chính
- Java
- Star
- 153
- Fork
- 186
- Merge trung bình
- 2 ngày 12 giờ
- Pull request đã merge (30 ngày)
- 13
Chuẩn bị môi trường
- Có Dockerfile hoặc tệp Docker Compose
- Không có mẫu pull request
- Không có hướng dẫn đóng góp
Bắt đầu từ đâu
- Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
- Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
- Fork repository và làm thay đổi trên một nhánh.
- Mở pull request có tham chiếu số hiệu của issue.
Issue khác của OHDSI/WebAPI
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 65/100
Maintainer thường phản hồi trong vòng 1 ngày
-
CDM cache warming still fails when cache.achilles.usePersonCount=false (missing `cc` alias in getBatchConceptRecordCount.sql)Có thể đã có người làm @DG47 đã nhận 1 ngày trước. Đang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
Maintainer thường phản hồi trong vòng 1 ngày
-
GET /conceptset/{id}/expression returns items in nondeterministic order (query has no ORDER BY)Đang mở
Độ khó 3/5 1-2 ngày Mức phù hợp với người mới 67/100
OHDSI/WebAPI#2543 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
-
Độ khó 4/5 3-5 ngày Mức phù hợp với người mới 48/100
OHDSI/WebAPI#2513 · 3 bình luận ·
Maintainer thường phản hồi trong vòng 1 ngày
Issue tương tự
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
apache/rocketmq-dashboard#7302 ·
Maintainer thường phản hồi trong vòng 3 ngày
-
area: android good first issue help wanted testing
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 75/100
Gautam-aman/ResQNet#56 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
documentation hermes-queue
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 72/100
chrisalunlloyd2-sudo/mindpalace#294 ·
Maintainer thường phản hồi trong vòng 1 ngày
-
better night vision compatĐang mở
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 78/100
QuicksilverMC/Argentum#31 ·
-
Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 66/100
avniproject/avni-server#1098 · 2 bình luận ·