CVE-2026-105111— Apache Commons BCEL Class2HTML 存储型XSS漏洞
一分钟漏洞结论
影响对象
Apache Software Foundation Apache Commons BCEL
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Apache Commons BCEL 中在生成网页时存在不恰当的对输入进行中性化处理（即“跨站脚本攻击”，XSS）的漏洞。 该问题仅在使用 Class2HTML 为可能由攻击者控制的类文件生成网页时发生。Class2HTML 的 emitter 组件将攻击者提供的类文件字符串以未转义的方式直接写入 HTML 中，从而导致存储型 XSS（在报告中出现）。 此漏洞影响 Apache Commons BCEL 6.13.0 之前的版本。 建议用户升级至 6.13.0 版本，该版本已修复此问题。
影响版本矩阵 2
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| Apache Software Foundation | Apache Commons BCEL | < 6.13.0 |
affected |
< fb72c225cbc6ec3d94060ed6edb269f07428d504 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-105111 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Apache Commons BCEL: Class2HTML emits unescaped class strings, enabling stored XSS
来源: CVE Program / CVE List V5
Vulnerability Description
Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Apache Commons BCEL.
This only happens when you're using Class2HTML to generate webpages for possibly-attacker-controlled class files, where Class2HTML emitters write attacker class-file strings into HTML unescaped (stored XSS in reports).
This issue affects Apache Commons BCEL: before 6.13.0.
Users are recommended to upgrade to version 6.13.0, which fixes the issue.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
在Web页面生成时对输入的转义处理不恰当(跨站脚本)
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Apache Software Foundation | Apache Commons BCEL | 0 ~ 6.13.0 | - |
|
二、漏洞 CVE-2026-105111 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-105111 的情报信息
请登录查看更多情报信息。
CVE-2026-105111 其他参考 (2)
同批安全公告 · Apache Software Foundation · 2026-10-06 · 共 8 条
| CVE-2026-94114 | 5.9 MEDIUM | Apache Commons BCEL 类解析器无限递归漏洞 |
| CVE-2026-105244 | 5.3 MEDIUM | Apache log4net RemoteSyslogAppender静默删除非ASCII字符漏洞 |
| CVE-2026-105243 | 5.3 MEDIUM | Apache log4net 事件日志应用器超大记录静默丢弃漏洞 |
| CVE-2026-105242 | 5.3 MEDIUM | Apache log4net ASP.NET请求转换器事件丢失漏洞 |
| CVE-2026-105241 | 5.3 MEDIUM | Apache log4net SMTP邮件附件批量丢弃漏洞 |
| CVE-2026-105240 | 5.3 MEDIUM | Apache log4net NUL字符截断OutputDebugStringAppender记录 |
| CVE-2026-105239 | 5.3 MEDIUM | Apache log4net NUL字符截断EventLogAppender记录漏洞 |
IV. Related Vulnerabilities
Same vendor: Apache Software Foundation
V. Comments for CVE-2026-105111
暂无评论