CVE-2022-42889

criticalpriority · act · 84EPSS 0.999 · 100 %ileexploit · weaponizedDEEURUUS

grimoire priorityP1 · Urgent

Exploitable?

Public exploit

52 exploits · weaponized

Likely / severe?

99.9% (100th) EPSS

CVSS 9.8 · critical

Is it mine?

21 products

Check your exposure

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · scored 2026-10-27

Apache Commons Text performs variable interpolation, allowing properties to be dynamically evaluated and expanded. The standard format for interpolation is "${prefix:name}", where "prefix" is used to locate an instance of org.apache.commons.text.lookup.StringLookup that performs the interpolation. Starting with version 1.5 and continuing through 1.9, the set of default Lookup instances included interpolators that could result in arbitrary code execution or contact with remote servers. These lookups are: - "script" - execute expressions using the JVM script execution engine (javax.script) - "dns" - resolve dns records - "url" - load values from urls, including from remote servers Applications using the interpolation defaults in the affected versions may be vulnerable to remote code execution or unintentional contact with remote servers if untrusted configuration values are used. Users are recommended to upgrade to Apache Commons Text 1.10.0, which disables the problematic interpolators by default.

cvss

Technical severity, 0–10. One row per scoring source.

9.8

010

base score 0–10 · higher = more severe · hover a vector to decode

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hprimary · NVD / NIST USexploitability 3.9 · impact 5.9

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · OSV

v3.19.8criticalCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:Hsecondary · CVSS-BT (t0sche)

ssvc

A stakeholder decision — act, attend, or track — from exploitation and impact.

Exploitation: none · Automatable: yes · Technical Impact: totalcoordinatorcisa_ssvcUS

weaknesses

The CWE weakness classes this flaw belongs to.

CWE-94USprimaryCWE-94USCWE-94US

exploits (52)

Public proof-of-concept and weaponised exploit code.

exploit/multi/http/apache_commons_text4shellApache Commons Text RCEweaponized · metasploit
EDB-52261Apache Commons Text 1.10.0 - Remote Code ExecutionPoC · exploit_db
0xmaximus/Apache-Commons-Text-CVE-2022-42889Apache Text4Shell (CVE-2022-42889) Burp Bounty ProfilePoC · poc_in_github
34006133/CVE-2022-42889RCE PoC for Apache Commons Text vulnPoC · poc_in_github
ClickCyber/cve-2022-42889cve-2022-42889 Text4Shell CVE-2022-42889 affects Apache Commons Text versions 1.5 through 1.9. It has been patched as of Commons Text version 1.10. PoC · poc_in_github
Dima2021/cve-2022-42889-text4shellDima2021/cve-2022-42889-text4shellPoC · poc_in_github

affected products (21)

Products and version ranges known to be affected.

Dell ECS <3.8.1.0all versionscert_bundDE
Dell PowerEdgeall versionscert_bundDEcpe:/h:dell:poweredge:-
IBM InfoSphere Information Serverall versionscert_bundDEcpe:/a:ibm:infosphere_information_server:-
Dell ECS< 3.8.1.0cert_bundDE
Apache Software Foundation Apache Commons Text≤ unspecified ≤1.9enisa_euvdEU
Apache Software Foundation Apache Commons Text1.5 → Apache Commons Text*enisa_euvdEU
Apache Software Foundation Commons Text1.5 → 1.10.0fstec_bduRU
Novell Inc. openSUSE Tumbleweedall versionsfstec_bduRU
Red Hat Inc. OpenShift Container Platform≤ 4fstec_bduRU
Red Hat Inc. OpenShift Developer Tools and Servicesall versionsfstec_bduRU
Red Hat Inc. Red Hat Integration Camel Kall versionsfstec_bduRU
Red Hat Inc. Red Hat Integration Camel Quarkusall versionsfstec_bduRU
Red Hat Inc. Red Hat Integration Camel for Spring Bootall versionsfstec_bduRU
Red Hat Inc. Red Hat Satellite≤ 6fstec_bduRU
Сообщество свободного программного обеспечения Debian GNU/Linux≤ 10fstec_bduRU
apache commons text1.5 → 1.10.0nvdUScpe:2.3:a:apache:commons_text:*:*:*:*:*:*:*:*
juniper security threat response manager< 7.5.0nvdUScpe:2.3:a:juniper:security_threat_response_manager:*:*:*:*:*:*:*:*
juniper security threat response manager= 7.5.0nvdUScpe:2.3:a:juniper:security_threat_response_manager:*:*:*:*:*:*:*:*
netapp bluexpall versionsnvdUScpe:2.3:a:netapp:bluexp:*:*:*:*:*:*:*:*
Maven com.guicedee.services:commons-text≤ 1.2.2.1-jre17osvUSpkg:maven/com.guicedee.services/commons-text

showing 20 of 21

advisories (16)

Vendor and ecosystem advisories describing this.

WID-SEC-W-2022-1758Apache Commons Text: Schwachstelle ermöglicht CodeausführungDeutsch2022-10-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann eine Schwachstelle in Apache Commons Text ausnutzen, um beliebigen Programmcode auszuführen.
WID-SEC-W-2022-2290SAP Patchday Dezember 2022Deutsch2022-12-12csaf · cert_bundDE
Ein entfernter, anonymer, authentisierter oder lokaler Angreifer kann mehrere Schwachstellen in der SAP-Software ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen und einen Cross-Site-Scripting-Angriff durchzuführen.
WID-SEC-W-2023-0119Oracle Utilities Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Utilities Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0127Oracle JD Edwards: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle JD Edwards ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0130Oracle Hyperion: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Hyperion ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0132Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0134Oracle Enterprise Manager: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Enterprise Manager ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0136Oracle Construction and Engineering: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Construction and Engineering ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0137Oracle Communications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0138Oracle Communications Applications: Mehrere SchwachstellenDeutsch2023-01-17csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-0395Splunk Splunk Enterprise: Mehrere SchwachstellenDeutsch2023-02-14csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Splunk Splunk Enterprise ausnutzen, um vertrauliche Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand zu verursachen, Daten zu manipulieren und einen Cross-Site-Scripting-Angriff durchzuführen.
WID-SEC-W-2023-1017Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1031Oracle Retail Applications: Mehrere SchwachstellenDeutsch2023-04-18csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Retail Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2023-1143Red Hat Satellite: Mehrere SchwachstellenDeutsch2023-05-03csaf · cert_bundDE
Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Red Hat Satellite ausnutzen, um beliebigen Programmcode auszuführen, Informationen offenzulegen, einen Cross-Site-Scripting-Angriff durchzuführen oder einen Denial of Service Zustand herbeizuführen.
WID-SEC-W-2024-0794Dell ECS: Mehrere SchwachstellenDeutsch2024-04-04csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Dell ECS ausnutzen, um seine Privilegien zu erweitern, beliebigen Programmcode mit Administratorrechten auszuführen, Informationen offenzulegen, Dateien zu manipulieren, einen Cross-Site-Scripting-Angriff durchzuführen, Sicherheitsvorkehrungen zu umgehen oder einen Denial of Service Zustand herbeizuführen.
GHSA-599f-7c49-w659Arbitrary code execution in Apache Commons Text2022-10-13ghsa · osvUS
Apache Commons Text performs variable interpolation, allowing properties to be dynamically evaluated and expanded. The standard format for interpolation is "${prefix:name}", where "prefix" is used to locate an instance of org.apache.commons.text.lookup.StringLookup that performs the interpolation. Starting with version 1.5 and continuing through 1.9, the set of default Lookup instances included interpolators that could result in arbitrary code execution or contact with remote servers. These lookups are: - "script" - execute expressions using the JVM script execution engine (javax.script) - "dns" - resolve dns records - "url" - load values from urls, including from remote servers Applications using the interpolation defaults in the affected versions may be vulnerable to remote code execution or unintentional contact with remote servers if untrusted configuration values are used. Users are recommended to upgrade to Apache Commons Text 1.10.0, which disables the problematic interpolators by default.

also known as (4)

Other names and identifiers for this entity.

sources

Which sources assert this record, and when.

cnnvd enisa_euvd fstec_bdu cert_bund nvd osv NVD CVE.org MITRE

published 2022-10-13modified 2026-06-17

related (10,443)

Related entries.

ID	severity	EPSS	exploitable	published
CVE-2026-0322US	high7.2OT critical	1.74% (78th)	KEV	2026-10-14
A remote code execution (RCE) vulnerability in the management interface of Palo Alto Networks PAN-OS® software enables an authenticated attacker with network access to execute arbi…
CVE-2026-58400US	—OT critical	1.19% (68th)	—	2026-09-03
GeoNetwork is a catalog application to manage spatially referenced resources. Prior to versions 4.4.12 and 4.2.17, the Saxon XSLT processor used to render formatters is configured…
CVE-2026-60004US	—OT critical	24.0% (98th)	KEV	2026-08-26
Gitea before 1.27.1 allows remote code execution via the diffpatch API through Git hook installation.
CVE-2026-72530US	—OT critical	1.69% (77th)	KEV	2026-08-19
A remote unauthorized attacker with network access via port 4307/TCP to the TrueConf server versions 5.3.X to 5.3.9, 5.4.X to 5.4.9, 5.5.X to 5.5.5, and earlier could use a special…
CVE-2026-65660US	high8.8OT critical	8.19% (95th)	KEV	2026-08-11
Improper control of generation of code ('code injection') in Microsoft Office SharePoint allows an authorized attacker to execute code over a network.

+10438 more

references (50)

External citations — patches, advisories, analysis.

scry

Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.

Free scan