Plataforma
java
Componente
org.wildfly:wildfly-parent
Corregido en
23.0.3
23.0.2.Final
Se ha identificado una vulnerabilidad de Cross-Site Scripting (XSS) en WildFly Parent, afectando a versiones anteriores o iguales a 9.0.2.Final. Esta falla permite la inyección de payloads maliciosos en el campo del nombre al crear un nuevo rol en modo dominio a través de la consola de administración, comprometiendo la confidencialidad e integridad de los datos. La versión corregida es 23.0.2.Final, y se recomienda actualizar lo antes posible.
La vulnerabilidad XSS en WildFly Parent permite a un atacante inyectar scripts maliciosos en las páginas web de la aplicación. Un usuario que visite una página comprometida podría verse afectado, ejecutando el script inyectado en su navegador. Esto podría resultar en el robo de cookies de sesión, la redirección a sitios web maliciosos o la modificación del contenido de la página web. El impacto se agrava si la aplicación se utiliza en un entorno de producción con múltiples usuarios, ya que un solo ataque podría afectar a un gran número de personas. La explotación exitosa de esta vulnerabilidad podría permitir a un atacante obtener acceso no autorizado a información sensible o realizar acciones en nombre de un usuario legítimo.
Esta vulnerabilidad fue publicada el 25 de mayo de 2021. Actualmente no se dispone de información sobre una explotación activa en la naturaleza, pero la disponibilidad de la vulnerabilidad en un componente ampliamente utilizado como WildFly Parent la convierte en un objetivo potencial. Se recomienda monitorear los sistemas afectados en busca de actividad sospechosa. La vulnerabilidad no figura en el KEV de CISA al momento de la redacción.
Organizations running WildFly in domain mode, particularly those with publicly accessible admin consoles, are at risk. Legacy deployments using older WildFly versions (≤9.0.2.Final) are especially vulnerable. Shared hosting environments where multiple users have access to the WildFly admin console also face increased risk.
• java / server:
# Check WildFly version
/opt/wildfly/bin/wildfly.sh status• java / server:
# Review WildFly logs for suspicious role creation attempts
grep -i 'role name' /opt/wildfly/standalone/log/server.logdisclosure
Estado del Exploit
EPSS
0.28% (52% percentil)
Vector CVSS
La mitigación principal para esta vulnerabilidad es actualizar a la versión 23.0.2.Final de WildFly Parent. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de la entrada del usuario en la consola de administración. Además, se pueden configurar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan payloads XSS sospechosos. Es crucial revisar y endurecer las políticas de seguridad de la aplicación para prevenir futuros ataques XSS. Después de la actualización, confirme la mitigación revisando los registros de auditoría en busca de intentos de explotación y verificando que la creación de roles no permita la inyección de scripts.
Actualice Wildfly a la versión 23.0.2.Final o superior. Esta actualización corrige una vulnerabilidad XSS en la consola de administración al crear roles en modo dominio.
Análisis de vulnerabilidades y alertas críticas directamente en tu correo.
CVE-2021-3536 is an XSS vulnerability in WildFly versions up to 9.0.2.Final. It allows attackers to inject malicious scripts when creating roles via the admin console, potentially compromising confidentiality and integrity.
You are affected if you are running WildFly versions 9.0.2.Final or earlier. Upgrade to 23.0.2.Final or later to mitigate the risk.
Upgrade WildFly to version 23.0.2.Final or later. If immediate upgrade isn't possible, restrict admin console access and validate role name inputs.
There is currently no evidence of active exploitation campaigns targeting CVE-2021-3536, but proactive patching is still recommended.
Refer to the official Red Hat security advisory for CVE-2021-3536: https://access.redhat.com/security/cve/CVE-2021-3536
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Sube tu archivo pom.xml y te decimos al instante si estás afectado.