Attestkeep
Langue : Français
S'inscrire

Vulnérabilités / CVE-2019-13990

critique

CVE-2019-13990

libquartz: XXE attacks via job description

Publiée Modifiée CWE 611
Dans la Trivy database depuis au moins le 24 oct. 2026, 07:11 UTCLa date d'entrée avant ce build n'est pas enregistrée.

Sévérité par source

NVD9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
GHSA9.8CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Red Hat8.1CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Le label propre à Trivy est CRITICAL. Critique selon NVD, GHSA. Plus basse selon Red Hat (élevée).

Description

initDocumentParser in xml/XMLSchedulingDataProcessor.java in Terracotta Quartz Scheduler through 2.3.0 allows XXE attacks via a job description.

Paquets affectés et versions corrigées

SourcePaquetCorrigé en
maven::GitHub Security Advisory Mavenorg.quartz-scheduler:quartz2.3.2
debian 10libquartz-java, libquartz2-javapas de correctif indiqué
debian 11libquartz-java, libquartz2-java2.3.0-3
debian 12libquartz-java, libquartz2-java1:1.8.6-8 et 1 autres
debian 13libquartz-java, libquartz2-java1:1.8.6-8 et 1 autres
debian 14libquartz-java, libquartz2-java1:1.8.6-8 et 1 autres
debian 8libquartz-javapas de correctif indiqué
debian 9libquartz-java, libquartz2-javapas de correctif indiqué
echolibquartz-java, libquartz2-java1:1.8.6-8 et 1 autres
Afficher les 16 entrées de 9 sources
SourcePaquetCorrigé en
maven::GitHub Security Advisory Mavenorg.quartz-scheduler:quartz2.3.2
debian 10libquartz-javapas de correctif indiqué
debian 10libquartz2-javapas de correctif indiqué
debian 11libquartz-javapas de correctif indiqué
debian 11libquartz2-java2.3.0-3
debian 12libquartz-java1:1.8.6-8
debian 12libquartz2-java2.3.0-3
debian 13libquartz-java1:1.8.6-8
debian 13libquartz2-java2.3.0-3
debian 14libquartz-java1:1.8.6-8
debian 14libquartz2-java2.3.0-3
debian 8libquartz-javapas de correctif indiqué
debian 9libquartz-javapas de correctif indiqué
debian 9libquartz2-javapas de correctif indiqué
echolibquartz-java1:1.8.6-8
echolibquartz2-java2.3.0-3

Références

Les 25 références

Vulnerability data compiled from the Trivy vulnerability database (trivy-db, Aqua Security, Apache License 2.0), which aggregates third-party advisories. CVE records are published by The MITRE Corporation under the CVE Terms of Use; CVE is a trademark of MITRE. This product uses data from the NVD API but is not endorsed or certified by the NVD. Severity, titles and advisory data from the GitHub Advisory Database (CC BY 4.0), Red Hat security data (CC BY 4.0) and the other sources linked on each entry. Entries may be summarised or re-formatted; the linked original is the authoritative record.