CVE-2026-105244

mediumPriorität · verfolgen · 0EPSS 0.008 · 57. PerzentilDEUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.82% (57th) EPSS

CVSS 5.3 · medium

Is it mine?

3 products

Prüfe deine Angriffsfläche

Who says so?

2 sources

cert_bund · nvd

EPSS · bewertet 2026-10-27

Improper Encoding or Escaping of Output vulnerability in the RemoteSyslogAppender of Apache log4net. Every character outside visible ASCII and space was removed from the record instead of being escaped, so non-ASCII text and control characters such as tabs disappeared without notice. A party whose data reaches a log message could make a distinct value look identical in the record, for example a user name holding a zero-width space logged as admin. Only applications that use RemoteSyslogAppender are affected. This issue affects Apache log4net: from 1.2.12 before 3.5.0. Users are recommended to upgrade to version 3.5.0, which fixes the issue.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

5.3

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.15.3mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:Nsecondary · security@apache.orgAusnutzbarkeit 3.9 · Auswirkung 1.4

v3.14.9mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Exploitation: none · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-116US

betroffene Produkte (3)

Betroffene Produkte und Versionsbereiche.

Apache log4net <3.5.0alle Versionencert_bundDE
Apache log4net< 3.5.0cert_bundDE
apache log4net1.2.12 → 3.5.0nvdUScpe:2.3:a:apache:log4net:*:*:*:*:*:*:*:*

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-3772Apache log4net: Mehrere Schwachstellen ermöglichen Manipulation von DateienDeutsch2026-10-06csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Apache log4net ausnutzen, um Dateien zu manipulieren.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cert_bund nvd NVD CVE.org MITRE

veröffentlicht 2026-10-06geändert 2026-10-09

Referenzen (4) nvd

Externe Belege — Patches, Meldungen, Analysen.

http://www.openwall.com/lists/oss-security/2026/10/07/19Mailing ListThird Party Advisory
https://github.com/apache/logging-log4net/commit/77717061b20d4346b6c0ce6b54643d85fb348bc7Patch
https://github.com/apache/logging-log4net/pull/315PatchVendor Advisory
https://lists.apache.org/thread.html/q7649hhdodthoqw8jsjgtnb4m8qfy6d6Mailing ListVendor Advisory

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan