关键漏洞信息 漏洞详情 产品: Apache Archiva 链接: Apache Archiva官网 漏洞类型: Cross-Site Request Forgery (CSRF) [CWE-253] 发现日期: 2016-05-31 公开日期: 2016-07-11 CVSSv3 分值: 5.4 (AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N) CVE ID: CVE-2016-4469 受影响版本 Apache Archiva v1.3.9及以下版本可能受影响。 漏洞细节 应用程序基本提供了基于Struts的名为"token"的CSRF保护机制。许多管理功能如添加新用户在此保护之下，但某些HTTP POST功能缺乏该保护，导致易受CSRF攻击。 - 添加新的仓库代理： - 添加新的仓库： - 编辑现有仓库： - 添加遗留工件路径： - 更改组织外观： - 上传新工件： 风险 利用此漏洞，具有管理权限的用户会被诱骗访问恶意网站时，由于登录状态，可远程执行敏感操作，如添加新代理、仓库或上传工件等。 解决方案 升级到或迁移至Apache Archiva 2.2.1版本。 漏洞报告时间轴 2016-05-31: 发现漏洞 2016-06-06: 无回应后再次通知厂商 2016-06-10: 厂商声明该版本已无支持 2016-06-21: 厂商分配CVE-2016-4469 2016-07-11: 安全通告发布 参考资料 CVE详情