ballcat-codegen template engine remote code execution injection

緊急 9.8CVE-2022-24881 · GHSA-fv3m-xhqw-9m79 · 26/04/2022 公開 · 17/06/2026 更新

要点

CVE-2022-24881 は com.hccake:ballcat-codegen, codegen (ballcat) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：3.2%（全脆弱性の 88.2% より高い）。
対処：1.0.0.beta.2, 1.0.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.hccake:ballcat-codegen Maven	`< 1.0.0.beta.2`	`1.0.0.beta.2`
codegen ballcat	`< 1.0.0`	`1.0.0`

概要

Impact

Ballcat Codegen provides the function of online editing code to generate templates. In version < 1.0.0.beta.2, since Velocity and freemarker templates are introduced but input verification is not done, attackers can implement remote code execution through malicious code injection of the template engine.

Patches

The fault is rectified and needs to be upgraded to the latest version.

NVD の説明

Ballcat Codegen provides the function of online editing code to generate templates. In versions prior to 1.0.0.beta.2, attackers can implement remote code execution through malicious code injection of the template engine. This happens because Velocity and freemarker templates are introduced but input verification is not done. The fault is rectified in version 1.0.0.beta.2.