Cross-site Scripting in Eclipse Mojarra

中 6.1CVE-2019-17091 · GHSA-rjhx-c9qh-qh8f · 02/10/2019 公開 · 17/06/2026 更新

要点

CVE-2019-17091 は org.glassfish:jakarta.faces, org.glassfish:javax.faces, mojarra (eclipse) に影響する深刻度「中」 (CVSS 6.1) の脆弱性です。
今後30日間に悪用される確率（EPSS）：2.5%（全脆弱性の 84.5% より高い）。
対処：2.3.10, 2.2.20 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.glassfish:jakarta.faces Maven	`< 2.3.10`	`2.3.10`
org.glassfish:javax.faces Maven	`< 2.2.20`	`2.2.20`
mojarra eclipse	`≥ 2.3.0, < 2.3.10`	`2.3.10`
application testing suite oracle	`= 13.2.0.1= 13.3.0.1`	修正版なし
banking enterprise product manufacturing oracle	`= 2.7.0= 2.8.0`	修正版なし
communications diameter signaling router oracle	`≥ 8.0.0.0, ≤ 8.4.0.5`	修正版なし
communications network integrity oracle	`= 7.3.5= 7.3.6`	修正版なし
communications unified inventory management oracle	`= 7.3.0= 7.4.0`	修正版なし
enterprise data quality oracle	`= 12.2.1.3.0`	修正版なし
health sciences information manager oracle	`= 3.0`	修正版なし
healthcare data repository oracle	`= 7.0`	修正版なし
mojarra javaserver faces oracle	`≥ 2.2.0, < 2.2.20`	`2.2.20`
primavera p6 enterprise project portfolio management oracle	`= 19.12.0.0≥ 15.1.0.0, ≤ 15.2.18.7≥ 16.1.0.0, ≤ 16.2.19.0≥ 17.1.0.0, ≤ 17.12.15.0≥ 18.1.0.0, ≤ 18.8.15.0`	修正版なし
rapid planning oracle	`= 12.1= 12.2`	修正版なし
retail advanced inventory planning oracle	`= 15.0= 16.0`	修正版なし
retail assortment planning oracle	`= 16.0.3`	修正版なし
retail bulk data integration oracle	`= 16.0.3.0`	修正版なし
retail financial integration oracle	`= 15.0= 16.0`	修正版なし
retail integration bus oracle	`= 15.0= 16.0`	修正版なし
retail invoice matching oracle	`= 16.0`	修正版なし
retail merchandising system oracle	`= 16.0`	修正版なし
retail service backbone oracle	`= 15.0= 16.0`	修正版なし
retail store inventory management oracle	`= 14.0.4= 14.1.3= 15.0.3= 16.0.3`	修正版なし
secure global desktop oracle	`= 5.4= 5.5`	修正版なし
time and labor oracle	`≥ 12.2.6, ≤ 12.2.11`	修正版なし

概要

faces/context/PartialViewContextImpl.java in Eclipse Mojarra, as used in Mojarra for Eclipse EE4J before 2.3.10 and Mojarra JavaServer Faces, allows Reflected XSS because a client window field is mishandled.

NVD の説明

faces/context/PartialViewContextImpl.java in Eclipse Mojarra, as used in Mojarra for Eclipse EE4J before 2.3.10 and Mojarra JavaServer Faces before 2.2.20, allows Reflected XSS because a client window field is mishandled.

参考情報

nvd.nist.gov/vuln/detail/CVE-2019-17091 · ADVISORY
eclipse-ee4j/mojarra · WEB
eclipse-ee4j/mojarra#4567 · WEB
eclipse-ee4j/mojarra commit 8f70f2b · WEB
eclipse-ee4j/mojarra commit a3fa957 · WEB
bugs.eclipse.org/bugs/show_bug.cgi · WEB
eclipse-ee4j/mojarra · WEB
eclipse-ee4j/mojarra · WEB
javaserverfaces/mojarra · WEB
javaserverfaces/mojarra commit ae1c234 · Patch
javaserverfaces/mojarra commit f61935c · Patch

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン