Exposure of Sensitive Information to an Unauthorized Actor in Apache Jasypt

HOCH 7.5CVE-2014-9970 · GHSA-r5c2-rxh2-f5h2 · Published 21/05/2017 · updated 17/06/2026

Kurz gesagt

CVE-2014-9970 ist eine Schwachstelle (HOCH (CVSS 7.5)) in org.jasypt:jasypt, jasypt (jasypt project).
Wahrscheinlichkeit einer Ausnutzung in den nächsten 30 Tagen (EPSS): 2.4%, höher als bei 83.9% aller Schwachstellen.
Abhilfe: auf 1.9.2 oder neuer aktualisieren.

Package	Affected versions	Patched versions
org.jasypt:jasypt Maven	`< 1.9.2`	`1.9.2`
jasypt jasypt_project	`≤ 1.9.1`	No fix yet

jasypt before 1.9.2 allows a timing attack against the password hash comparison.

NVD description

jasypt before 1.9.2 allows a timing attack against the password hash comparison.

Running one of these products? Scan your site to see whether it exposes a vulnerable version.