CVE-2024-21534

criticalPriorität · verfolgen · 13EPSS 0.090 · 95. PerzentilExploit · PoCDEEUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

3 exploits · PoC

Likely / severe?

9.02% (95th) EPSS

CVSS 9.8 · critical

Is it mine?

15 products

Prüfe deine Angriffsfläche

Who says so?

4 sources

cnnvd · enisa_euvd · cert_bund · osv

EPSS · bewertet 2026-10-27

All versions of the package jsonpath-plus are vulnerable to Remote Code Execution (RCE) due to improper input sanitization. An attacker can execute aribitrary code on the system by exploiting the unsafe default usage of vm in Node. **Note:** There were several attempts to fix it in versions [10.0.0-10.1.0](https://github.com/JSONPath-Plus/JSONPath/compare/v9.0.0...v10.1.0) but it could still be exploited using [different payloads](https://github.com/JSONPath-Plus/JSONPath/issues/226).

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

9.8

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · ENISA EU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · report@snyk.ioAusnutzbarkeit 3.9 · Auswirkung 5.9

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.19.3criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Psecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: poc · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-94USCWE-94US

Exploits (3)

Öffentlicher Proof-of-Concept- und Exploit-Code.

BohemianHacks/CVE-2024-21534-pocBohemianHacks/CVE-2024-21534-pocPoC · poc_in_github
pabloopez/CVE-2024-21534Proof-of-concept (PoC) exploit for JSONPath-plus vulnerabilityPoC · poc_in_github
verylazytech/cve-2024-21534POC - CVE-2024-21534 Jsonpath-plus vulnerable to Remote Code Execution (RCE) due to improper input sanitizationPoC · poc_in_github

betroffene Produkte (15)

Betroffene Produkte und Versionsbereiche.

Atlassian Bitbucket <10.0.2alle Versionencert_bundDE
Atlassian Bitbucket <8.19.25 (LTS)alle Versionencert_bundDE
Atlassian Bitbucket <9.4.13 (LTS)alle Versionencert_bundDE
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Red Hat OpenShift Dev Spaces <3.17alle Versionencert_bundDE
Red Hat OpenShift Serverless Logic <1.35.0alle Versionencert_bundDE
Atlassian Bitbucket< 10.0.2cert_bundDE
Atlassian Bitbucket< 8.19.25 (LTS)cert_bundDE
Atlassian Bitbucket< 9.4.13 (LTS)cert_bundDE
Red Hat OpenShift≤ Dev Spaces <3.17cert_bundDE
Red Hat OpenShift≤ Serverless Logic <1.35.0cert_bundDE
n/a jsonpath-plus0 → *enisa_euvdEU
n/a org.webjars.npm:jsonpath-plus0 → *enisa_euvdEU
Maven org.webjars.npm:jsonpath-plus≤ 6.0.1osvUSpkg:maven/org.webjars.npm/jsonpath-plus
npm jsonpath-plus< 10.2.0osvUSpkg:npm/jsonpath-plus

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2024-3542Red Hat OpenShift: Mehrere SchwachstellenDeutsch2024-11-25csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat OpenShift ausnutzen, um Dateien zu manipulieren, um Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand zu erzeugen, beliebigen Code auszuführen und einen Cross-Site-Scripting-Angriff durchzuführen.
WID-SEC-W-2024-3627IBM App Connect Enterprise: Schwachstelle ermöglicht CodeausführungDeutsch2024-12-05csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in IBM App Connect Enterprise ausnutzen, um beliebigen Programmcode auszuführen.
GHSA-pppg-cpfq-h7wrJSONPath Plus Remote Code Execution (RCE) Vulnerability2024-10-11ghsa · osvUS
Versions of the package jsonpath-plus before 10.0.7 are vulnerable to Remote Code Execution (RCE) due to improper input sanitization. An attacker can execute aribitrary code on the system by exploiting the unsafe default usage of vm in Node. **Note:** There were several attempts to fix it in versions [10.0.0-10.1.0](https://github.com/JSONPath-Plus/JSONPath/compare/v9.0.0...v10.1.0) but it could still be exploited using [different payloads](https://github.com/JSONPath-Plus/JSONPath/issues/226)

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund osv NVD CVE.org MITRE

veröffentlicht 2024-10-11geändert 2026-06-17

Referenzen (17)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan