CVE-2022-23437

highPriorität · verfolgen · 30EPSS 0.116 · 96. PerzentilDEEUFRNLRUUS

grimoire priorityP1 · Urgent

Exploitable?

—

no known exploitation

Likely / severe?

11.6% (96th) EPSS

CVSS 7.1 · high

Is it mine?

339 products

Prüfe deine Angriffsfläche

Who says so?

8 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · bewertet 2026-10-27

There's a vulnerability within the Apache Xerces Java (XercesJ) XML parser when handling specially crafted XML document payloads. This causes, the XercesJ XML parser to wait in an infinite loop, which may sometimes consume system resources for prolonged duration. This vulnerability is present within XercesJ version 2.12.1 and the previous versions.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

Behobenruby4.0-rubygem-nokogiri-0:1.18.9-1.4.aarch64 as component of openSUSE Tumbleweedsuse_csaf
To install this SUSE Security Update use the SUSE recommended installation methods like YaST online_update or "zypper patch".
Behobenruby4.0-rubygem-nokogiri-0:1.18.9-1.4.ppc64le as component of openSUSE Tumbleweedsuse_csaf
To install this SUSE Security Update use the SUSE recommended installation methods like YaST online_update or "zypper patch".
Behobenruby4.0-rubygem-nokogiri-0:1.18.9-1.4.s390x as component of openSUSE Tumbleweedsuse_csaf
To install this SUSE Security Update use the SUSE recommended installation methods like YaST online_update or "zypper patch".
Behobenruby4.0-rubygem-nokogiri-0:1.18.9-1.4.x86_64 as component of openSUSE Tumbleweedsuse_csaf
To install this SUSE Security Update use the SUSE recommended installation methods like YaST online_update or "zypper patch".

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · medium–high · 6–7.5

v2.07.1highAV:N/AC:M/Au:N/C:N/I:N/A:Cprimary · NVD / NIST USAusnutzbarkeit 8.6 · Auswirkung 6.9

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:Hprimary · NVD / NIST USAusnutzbarkeit 2.8 · Auswirkung 3.6

v3.16.5mediumAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:Hsecondary · FSTEC (BDU) RU

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:Hsecondary · OSV

v3.16mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H/E:Usecondary · CVSS-BT (t0sche)

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:Hsecondary · SUSE Product Security

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:Hsecondary · NCSC-NL NL

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-835USprimärCWE-835USCWE-835USCWE-91US

betroffene Produkte (339)

Betroffene Produkte und Versionsbereiche.

Oracle Commerce 11.4.0alle Versionencert_bundDEcpe:/a:oracle:commerce:11.4.0
Apache Software Foundation Apache Xerces≤ Apache XercesJ ≤2.12.1enisa_euvdEU
Apache Software Foundation Xerces≤ 2.12.2fstec_bduRU
Google Inc Android Studio≤ 2025.2.3.9fstec_bduRU
АО «ИВК» АЛЬТ СП 10alle Versionenfstec_bduRU
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:23.4.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:12.6.1.0.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:17.0.1:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:24.2.2:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:15.0.0.0.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:23.4.2:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:24.1.1:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:23.4.4:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:24.1.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:24.1.0.0.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:14.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:24.2.1:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:14.0.0.1:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:12.11.0:*:*:*:*:*:*:*
communicationsalle Versionenncsc_nlNLcpe:2.3:a:oracle:communications:23.4.3:*:*:*:*:*:*:*

20 von 339 angezeigt

Advisories (20)

Hersteller- und Ökosystem-Meldungen dazu.

NCSC-2024-0414Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Communications producten en systemen.
NCSC-2026-0308Kwetsbaarheden verholpen in Oracle Commerce PlatformNL2026-08-19csaf · ncsc_nlNL
Oracle heeft meerdere kwetsbaarheden verholpen in Oracle Commerce Platform versie 11.4.0
WID-SEC-W-2022-1738IBM InfoSphere Information Server: Mehrere SchwachstellenDeutsch2022-10-16csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM InfoSphere Information Server ausnutzen, um seine Privilegien zu erweitern, beliebigen Programmcode auszuführen, einen Cross-Site-Scripting-Angriff durchzuführen, Informationen offenzulegen, einen Denial of Service Zustand herbeizuführen, Dateien zu manipulieren oder Sicherheitsvorkehrungen zu umgehen.
WID-SEC-W-2023-0129Oracle Insurance Applications: Schwachstelle gefährdet VerfügbarkeitDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Oracle Insurance Applications ausnutzen, um die Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0809IBM QRadar SIEM: Mehrere SchwachstellenDeutsch2023-03-30csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM QRadar SIEM ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, Informationen falsch darzustellen, einen Denial of Service Zustand herbeizuführen, Sicherheitsvorkehrungen zu umgehen, einen Cross-Site-Scripting-Angriff durchzuführen oder unbekannte Auswirkungen zu verursachen.
WID-SEC-W-2023-1013Oracle iLearning: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Oracle iLearning ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1017Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1018Oracle Enterprise Manager: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Enterprise Manager ausnutzen, um die Vertraulichkeit und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1023Oracle Commerce: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Commerce ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1031Oracle Retail Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Retail Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1807Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2023-07-18csaf · cert_bundDE
Ein Angreifer aus dem angrenzenden Netzwerk oder ein entfernter anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1813Oracle Communications Applications: Mehrere SchwachstellenDeutsch2023-07-18csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1815Oracle Commerce: Mehrere SchwachstellenDeutsch2023-07-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Commerce ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-0068IBM Business Automation Workflow: Mehrere SchwachstellenDeutsch2024-01-11csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in IBM Business Automation Workflow ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, einen Denial of Service Zustand herbeizuführen oder Dateien zu manipulieren.
WID-SEC-W-2024-2180Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2022-04-19csaf · cert_bundDE
Ein entfernter, anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-3195Oracle Communications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2888Oracle Commerce: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Commerce ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
openSUSE-SU-2026:10356-1ruby4.0-rubygem-nokogiri-1.18.9-1.4 on GA media2026-03-13csaf · suse_csafDE
ruby4.0-rubygem-nokogiri-1.18.9-1.4 on GA media
GHSA-h65f-jvqw-m9fjInfinite Loop in Apache Xerces Java2022-01-27ghsa · osvUS
There's a vulnerability within the Apache Xerces Java (XercesJ) XML parser when handling specially crafted XML document payloads. This causes, the XercesJ XML parser to wait in an infinite loop, which may sometimes consume system resources for prolonged duration. This vulnerability is present within XercesJ version 2.12.1 and the previous versions.
CERTFR-2026-AVI-1336Multiples vulnérabilités dans les produits IBMFrançais2026-10-16vendor · certfrFR

auch bekannt als (4)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl suse_csaf osv certfr NVD CVE.org MITRE

veröffentlicht 2022-01-24geändert 2026-08-25

verwandt (1,375)

Verwandte Einträge.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2024-20353US	high8.6OT kritisch	69.8% (99th)	KEV	2024-04-24
A vulnerability in the management and VPN web servers for Cisco Adaptive Security Appliance (ASA) Software and Cisco Firepower Threat Defense (FTD) Software could allow an unauthen…
CVE-2020-13935US	high7.5	86.6% (100th)	Exploit	2020-07-14
The payload length in a WebSocket frame was not correctly validated in Apache Tomcat 10.0.0-M1 to 10.0.0-M6, 9.0.0.M1 to 9.0.36, 8.5.0 to 8.5.56 and 7.0.27 to 7.0.104. Invalid payl…
CVE-2014-0050US	high7.5	83.3% (100th)	Exploit	2014-04-01
MultipartStream.java in Apache Commons FileUpload before 1.3.1, as used in Apache Tomcat, JBoss Web, and other products, allows remote attackers to cause a denial of service (infin…
CVE-2021-21341US	high7.5	77.8% (100th)	Exploit	2021-03-23
XStream is a Java library to serialize objects to XML and back again. In XStream before version 1.4.16, there is vulnerability which may allow a remote attacker to allocate 100% CP…
CVE-2022-0778US	high7.5	73.2% (99th)	Exploit	2022-03-15
The BN_mod_sqrt() function, which computes a modular square root, contains a bug that can cause it to loop forever for non-prime moduli. Internally this function is used when parsi…

+1370 weitere

Referenzen (31)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan