Exposure of Sensitive Information to an Unauthorized Actor in Apache Jasypt

ÉLEVÉE 7.5CVE-2014-9970 · GHSA-r5c2-rxh2-f5h2 · Published 21/05/2017 · updated 17/06/2026

En bref

CVE-2014-9970 est une vulnérabilité ÉLEVÉE (CVSS 7.5) touchant org.jasypt:jasypt, jasypt (jasypt project).
Probabilité d'exploitation dans les 30 prochains jours (EPSS) : 2.4%, plus élevée que 83.9% des vulnérabilités.
Correctif : mettre à jour vers 1.9.2 ou plus récent.

Package	Affected versions	Patched versions
org.jasypt:jasypt Maven	`< 1.9.2`	`1.9.2`
jasypt jasypt_project	`≤ 1.9.1`	No fix yet

jasypt before 1.9.2 allows a timing attack against the password hash comparison.

NVD description

jasypt before 1.9.2 allows a timing attack against the password hash comparison.

Running one of these products? Scan your site to see whether it exposes a vulnerable version.