ZK Framework vulnerable to malicious POST

高 7.5悪用確認済み（CISA KEV）CVE-2022-36537 · GHSA-6278-2q4m-cmf3 · 26/08/2022 公開 · 17/06/2026 更新

ZK Framework AuUploader Unspecified Vulnerability. 悪用が確認されています：CISA は 27/02/2023 にこの脆弱性を「既知の悪用された脆弱性（KEV）」カタログに追加しました。影響を受けるシステムは緊急に修正してください。ランサムウェア攻撃での使用が確認されています。

要点

CVE-2022-36537 は org.zkoss.zk:zk, zk framework (zkoss) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
実際に悪用されています：CISA が 27/02/2023 に KEV カタログへ追加しました。
今後30日間に悪用される確率（EPSS）：95.4%（全脆弱性の 99.9% より高い）。
対処：9.0.1.3, 9.5.1.4, 9.6.0.2, 9.6.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
org.zkoss.zk:zk Maven	`≥ 9.0.0.0, < 9.0.1.3≥ 9.5.0.0, < 9.5.1.4≥ 9.6.0.0, < 9.6.0.2≥ 9.6.1, < 9.6.2< 8.6.4.2`	`9.0.1.39.5.1.49.6.0.29.6.28.6.4.2`
zk framework zkoss	`≥ 9.0.0, < 9.0.1.3≥ 9.5.0, < 9.5.1.3≥ 9.6.0, < 9.6.2< 8.6.4.2`	`9.0.1.39.5.1.39.6.28.6.4.2`

概要

ZK Framework version 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 and 8.6.4.1 allows attackers to access sensitive information via a crafted POST request sent to the component AuUploader.

NVD の説明

ZK Framework v9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 and 8.6.4.1 allows attackers to access sensitive information via a crafted POST request sent to the component AuUploader.

参考情報

nvd.nist.gov/vuln/detail/CVE-2022-36537 · ADVISORY
zkoss/zk commit 92a29aa · WEB
zkoss/zk · PACKAGE
tracker.zkoss.org/browse/ZK-5150 · WEB
bleepingcomputer.com/news/security/cisa-warns-of-hackers-exploiting-zk-java-framework-rce-flaw · WEB
cisa.gov/known-exploited-vulnerabilities-catalog · WEB
bleepingcomputer.com/news/security/cisa-warns-of-hackers-exploiting-zk-java-framework-rce-flaw · Third Party Advisory
CISA KEV · CVE-2022-36537

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2022-36537 は org.zkoss.zk:zk, zk framework (zkoss) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。

実際に悪用されています：CISA が 27/02/2023 に KEV カタログへ追加しました。

今後30日間に悪用される確率（EPSS）：95.4%（全脆弱性の 99.9% より高い）。

対処：9.0.1.3, 9.5.1.4, 9.6.0.2, 9.6.2 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

org.zkoss.zk:zk

Maven

≥ 9.0.0.0, < 9.0.1.3≥ 9.5.0.0, < 9.5.1.4≥ 9.6.0.0, < 9.6.0.2≥ 9.6.1, < 9.6.2< 8.6.4.2

9.0.1.39.5.1.49.6.0.29.6.28.6.4.2

zk framework

zkoss

≥ 9.0.0, < 9.0.1.3≥ 9.5.0, < 9.5.1.3≥ 9.6.0, < 9.6.2< 8.6.4.2

9.0.1.39.5.1.39.6.28.6.4.2

概要

ZK Framework version 9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 and 8.6.4.1 allows attackers to access sensitive information via a crafted POST request sent to the component AuUploader.

NVD の説明

ZK Framework v9.6.1, 9.6.0.1, 9.5.1.3, 9.0.1.2 and 8.6.4.1 allows attackers to access sensitive information via a crafted POST request sent to the component AuUploader.