Apache Sling Vulnerability Summary and Remediation Guide

Apache Sling 漏洞关键信息总结 漏洞概述 影响范围 主要受影响组件： - Apache Sling XSS - Apache Sling Security - Apache Sling Servlets Resolver - Apache Sling Commons JSON module - Apache GraphQL Core - Apache Sling Engine - Apache Sling Resource Merger - Apache Sling JCR Base - Apache Sling CMS（Frontend / UI Components） - Apache Sling（Log4j相关） 受影响版本： - 多个版本受影响，具体版本需参考各CVE详情链接 - 修复版本包括：Apache Sling 14、Apache Sling 13、Apache Sling 12、Apache Sling 11、Apache Sling 10、Apache Sling 8、Apache Sling 7、Apache Sling 6 等 修复方案 1. 升级至最新版本： - 建议升级至 Apache Sling 14（2026年3月9日发布）或更高版本 - 各CVE对应的修复版本请参考具体CVE详情链接 2. 具体修复措施： - CVE-2024-23673：修复恶意代码执行漏洞（via path traversal） - CVE-2022-47937：修复多解析问题 - CVE-2022-37734：升级 graphql-java 至 20.1 版本 - CVE-2022-45064：修复包含基础XSS漏洞 - CVE-2023-25613：修复资源路径管理问题 - CVE-2023-25621：以安全方式处理 i18n 内容 - CVE-2023-25141：修复 JCR Base JNDI 注入漏洞 - CVE-2023-22849：修复 CMS Frontend / UI Components 中的 XSS 漏洞 - CVE-2022-46769：修复反射型 XSS 漏洞 - CVE-2022-43670：修复反射型 XSS 漏洞 - CVE-2021-44228：修复 Log4Shell 漏洞 - CVE-2020-1949：修复反射型 XSS 漏洞 - CVE-2012-2138：修复拒绝服务漏洞 3. 其他建议： - 关注 Apache Sling 官方安全公告 - 定期检查并更新依赖组件 - 对于 Log4Shell 漏洞，确保 Log4j 版本已更新至安全版本 参考链接 Apache Sling 官方安全公告：https://s.apache.org/security CVE 详情：各漏洞对应的 CVE 记录链接（如 https://www.cve.org/CVERecord?id=CVE-2024-23673） Apache Sling 下载页面：https://s.apache.org/download 注意：页面中未包含具体的 POC 代码或利用代码。

Goal Reached Thanks to every supporter — we hit 100%!

Apache Sling Vulnerability Summary and Remediation Guide