Code injection in Apache Dubbo

NGHIÊM TRỌNG 9.8CVE-2021-30181 · GHSA-qmfc-6www-fjqw · Công bố 01/06/2021 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2021-30181 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng com.alibaba:dubbo, org.apache.dubbo:dubbo, dubbo (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 60.9%, cao hơn 99.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.6.9, 2.7.10, 2.6.10 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
com.alibaba:dubbo Maven	`≥ 2.5.0, < 2.6.9`	`2.6.9`
org.apache.dubbo:dubbo Maven	`≥ 2.5.0, < 2.7.10`	`2.7.10`
dubbo apache	`≥ 2.5.0, < 2.6.10≥ 2.7.0, < 2.7.10`	`2.6.102.7.10`

Mô tả

Apache Dubbo prior to 2.6.9 and 2.7.10 supports Script routing which will enable a customer to route the request to the right server. These rules are used by the customers when making a request in order to find the right endpoint. When parsing these rules, Dubbo customers use ScriptEngine and run the rule provided by the script which by default may enable executing arbitrary code.

Mô tả của NVD

Apache Dubbo prior to 2.6.9 and 2.7.9 supports Script routing which will enable a customer to route the request to the right server. These rules are used by the customers when making a request in order to find the right endpoint. When parsing these rules, Dubbo customers use ScriptEngine and run the rule provided by the script which by default may enable executing arbitrary code.