CVE-2026-34481

highEPSS 0.009 · 58. PerzentilDEEUFRUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.85% (58th) EPSS

CVSS 7.5 · high

Is it mine?

35 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · cert_bund · osv

EPSS · bewertet 2026-10-20

Apache Log4j's JsonTemplateLayout https://logging.apache.org/log4j/2.x/manual/json-template-layout.html , in versions up to and including 2.25.3, produces invalid JSON output when log events contain non-finite floating-point values (NaN, Infinity, or -Infinity), which are prohibited by RFC 8259. This may cause downstream log processing systems to reject or fail to index affected records. An attacker can exploit this issue only if both of the following conditions are met: * The application uses JsonTemplateLayout. * The application logs a MapMessage, or logs an object directly (e.g., via Logger.info(Object), which wraps it in an ObjectMessage), where the message contains an attacker-controlled floating-point value. Users are advised to upgrade to Apache Log4j JSON Template Layout 2.25.4, which corrects this issue. Note: The fix released in version 2.25.4 did not cover all affected code paths. CVE-2026-49844 was assigned to the remaining issue, which concerns the MapMessage.asJson() serialization in Apache Log4j API and is fixed in versions 2.25.5 and 2.26.1.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–high · 2.9–7.5

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 3.6

v4.06.3mediumCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:Nsecondary · ENISA EU

v4.06.3mediumCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · security@apache.org

v4.02.9lowCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N/E:P/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-116USCWE-116US

betroffene Produkte (35)

Betroffene Produkte und Versionsbereiche.

Google Cloud Platformalle Versionencert_bundDEcpe:/a:google:cloud_platform:-
HCL Dominoalle Versionencert_bundDEcpe:/a:hcltech:domino:-
IBM App Connect Enterprisealle Versionencert_bundDEcpe:/a:ibm:app_connect_enterprise:-
IBM Business Automation Workflowalle Versionencert_bundDEcpe:/a:ibm:business_automation_workflow:-
IBM DB2alle Versionencert_bundDEcpe:/a:ibm:db2:-
IBM DB2 Developer Extensionalle Versionencert_bundDEcpe:/a:ibm:db2:developer_extension
IBM InfoSphere Information Serveralle Versionencert_bundDEcpe:/a:ibm:infosphere_information_server:-
IBM License Metric Toolalle Versionencert_bundDEcpe:/a:ibm:license_metric_tool:-
IBM Operational Decision Manageralle Versionencert_bundDEcpe:/a:ibm:operational_decision_manager:-
IBM SPSSalle Versionencert_bundDEcpe:/a:ibm:spss:modeler
IBM SPSS Collaboration and Deployment Servicesalle Versionencert_bundDEcpe:/a:ibm:spss:collaboration_and_deployment_services
IBM Spectrum Protect Plusalle Versionencert_bundDEcpe:/a:ibm:spectrum_protect_plus:-
IBM Tivoli Netcool/OMNIbusalle Versionencert_bundDEcpe:/a:ibm:tivoli_netcool%2fomnibus:-
IBM Tivoli Netcool/OMNIbus 8.1.0-8.1.0.36alle Versionencert_bundDEcpe:/a:ibm:tivoli_netcool%2fomnibus:8.1.0_-_8.1.0.36
IBM Tivoli Network Manageralle Versionencert_bundDEcpe:/a:ibm:tivoli_network_manager:-
IBM Tivoli Network Manager IP Edition 4.2.0alle Versionencert_bundDEcpe:/a:ibm:tivoli_network_manager:ip_edition_4.2.0
Microsoft Azure Linux azl3alle Versionencert_bundDEcpe:/o:microsoft:azure_linux:azl3
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
Red Hat Enterprise Linux Offline Knowledge Portalalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:offline_knowledge_portal
SUSE Linuxalle Versionencert_bundDEcpe:/o:suse:suse_linux:-

20 von 35 angezeigt

Advisories (19)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-1067Apache log4j: Mehrere Schwachstellen ermöglichen Manipulation von DateienDeutsch2026-04-12csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache log4j ausnutzen, um Dateien zu manipulieren.
WID-SEC-W-2026-1942Oracle Communications: Mehrere SchwachstellenDeutsch2026-06-16csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit und Integrität zu gefährden.
WID-SEC-W-2026-1943Oracle Enterprise Manager: Mehrere SchwachstellenDeutsch2026-06-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Enterprise Manager ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2260IBM Operational Decision Manager: Mehrere SchwachstellenDeutsch2026-07-08csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in IBM Operational Decision Manager ausnutzen, um beliebigen Programmcode auszuführen, um seine Privilegien zu erhöhen, um einen Denial of Service Angriff durchzuführen, um Informationen offenzulegen, um Dateien zu manipulieren, und um Sicherheitsvorkehrungen zu umgehen.
WID-SEC-W-2026-2432Oracle Spatial Studio: Schwachstelle gefährdet IntegritätDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Oracle Spatial Studio ausnutzen, um die Integrität zu gefährden.
WID-SEC-W-2026-2436Oracle Construction and Engineering: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Construction and Engineering ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2437Oracle Communications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2439Oracle Retail Applications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Retail Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2444Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2445Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2448Oracle Utilities Applications: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Utilities Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2450Oracle Supply Chain: Mehrere SchwachstellenDeutsch2026-07-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Supply Chain ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2890Oracle Enterprise Manager: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Enterprise Manager ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2893Oracle Hyperion: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Hyperion ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2895Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2899Oracle Supply Chain: Mehrere SchwachstellenDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Supply Chain ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2026-2901Oracle Retail Applications: Schwachstelle gefährdet IntegritätDeutsch2026-08-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Oracle Retail Applications ausnutzen, um die Integrität zu gefährden.
GHSA-w35j-pv5h-q9q9Apache Log4j JSON Template Layout: Improper serialization of non-finite floating-point values in JsonTemplateLayout2026-04-10ghsa · osvUS
Apache Log4j's [`JsonTemplateLayout`](https://logging.apache.org/log4j/2.x/manual/json-template-layout.html), in versions up to and including 2.25.3, produces invalid JSON output when log events contain non-finite floating-point values (`NaN`, `Infinity`, or `-Infinity`), which are prohibited by RFC 8259. This may cause downstream log processing systems to reject or fail to index affected records. An attacker can exploit this issue only if both of the following conditions are met: * The application uses `JsonTemplateLayout`. * The application logs a `MapMessage` containing an attacker-controlled floating-point value. Users are advised to upgrade to Apache Log4j JSON Template Layout 2.25.4, which corrects this issue.
CERTFR-2026-AVI-1336Multiples vulnérabilités dans les produits IBMFrançais2026-10-16vendor · certfrFR

auch bekannt als (2)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund osv certfr NVD CVE.org MITRE

veröffentlicht 2026-04-10geändert 2026-07-11

Referenzen (18)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan