Play Framework 安全公告

JSON 解析不受控遞迴

CVE-ID

CVE-2020-26883

日期

2020 年 10 月 1 日

說明

精心製作的 JSON 酬載作為表單欄位傳送，導致不受控遞迴。

影響

這只會影響使用 PlayJava 風格實作的 Play 應用程式。

受影響的版本

修正

此問題已在 Play 2.8.3 和 2.7.6 中修正。由於此版本已達支援結束，因此不會有包含此修正的 2.6.x 版本，請盡快升級以避免此安全問題。

CVSS 量化指標 (更多資訊)

整體：6.7
AV：N/AC：L/PR：N/UI：N/S：U/C：N/I：N/A：H/E：P/RL：O/RC：C

致謝

發現此漏洞的功勞歸功於 Gemini 安全團隊、Doyensec 和 @lucash-dev。