CVE-2024-29131

criticalpriority · track · 1EPSS 0.021 · 81 %ileDEEUNLRUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

2.05% (81st) EPSS

CVSS 9.8 · critical

Is it mine?

153 products

Check your exposure

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · scored 2026-10-27

Out-of-bounds Write vulnerability in Apache Commons Configuration.This issue affects Apache Commons Configuration: from 2.0 before 2.10.1. Users are recommended to upgrade to version 2.10.1, which fixes the issue.

cvss

Technical severity, 0–10. One row per scoring source.

9.8

010

base score 0–10 · higher = more severe · hover a vector to decode⚠ sources disagree · medium–critical · 6.5–9.8

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.17.3highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Lsecondary · ENISA EU

v3.17.3highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Lsecondaryexploitability 3.9 · impact 3.4

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:Lsecondary · OSV

v3.16.7mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L/E:Usecondary · CVSS-BT (t0sche)

v3.17.3highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Lsecondary · NCSC-NL NL

ssvc

A stakeholder decision — act, attend, or track — from exploitation and impact.

Exploitation: none · Automatable: yes · Technical Impact: partialcoordinatorcisa_ssvcUS

weaknesses

The CWE weakness classes this flaw belongs to.

CWE-787USCWE-787USCWE-787USCWE-787US

affected products (153)

Products and version ranges known to be affected.

Apache Commons Configuration <2.10.1all versionscert_bundDE
Atlassian Confluence <7.19.26-7.19.28 (LTS)) >all versionscert_bundDE
Atlassian Confluence <8.5.11-8.5.16 (LTS) >all versionscert_bundDE
Atlassian Confluence <8.9.3-8.9.7 >all versionscert_bundDE
Fedora Linuxall versionscert_bundDEcpe:/o:fedoraproject:fedora:-
IBM QRadar SIEMall versionscert_bundDEcpe:/a:ibm:qradar_siem:-
IBM QRadar SIEM <7.5.0 UP12all versionscert_bundDE
IBM SPSSall versionscert_bundDEcpe:/a:ibm:spss:modeler
Red Hat Enterprise Linuxall versionscert_bundDEcpe:/o:redhat:enterprise_linux:-
Red Hat JBoss A-MQ Broker <7.12.0all versionscert_bundDE
SUSE Linuxall versionscert_bundDEcpe:/o:suse:suse_linux:-
SolarWinds Platform <2026.2all versionscert_bundDE
Apache Commons≤ Configuration <2.10.1cert_bundDE
Atlassian Confluence≤ Data Center <8.9.3cert_bundDE
Atlassian Confluence< 7.19.24 LTScert_bundDE
Atlassian Confluence< 7.19.26-7.19.28 (LTS)) >cert_bundDE
Atlassian Confluence< 8.5.11 LTScert_bundDE
Atlassian Confluence< 8.5.11-8.5.16 (LTS) >cert_bundDE
Atlassian Confluence< 8.9.3-8.9.7 >cert_bundDE
IBM QRadar SIEM< 7.5.0 UP12cert_bundDE

showing 20 of 153

advisories (9)

Vendor and ecosystem advisories describing this.

NCSC-2024-0411Kwetsbaarheden verholpen in Oracle Database productenNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Database producten en subsystemen, zoals de Core database, Application Express, Autonomous Health Framework, Essbase, GoldenGate, SQL Developer en Secure Backup.
NCSC-2024-0417Kwetsbaarheden verholpen in Oracle Fusion MiddlewareNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in Fusion Middleware componenten, zoals WebLogic Server, WebCenter en HTTP Server.
NCSC-2025-0021Kwetsbaarheden verholpen in Oracle CommunicationsNL2025-01-22csaf · ncsc_nlNL
Oracle heeft meerdere kwetsbaarheden verholpen in zijn Communicatieproducten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Network Function en Oracle Communications Order and Service Management.
NCSC-2025-0028Kwetsbaarheden verholpen in Oracle AnalyticsNL2025-01-22csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in Oracle Analytics producten, zoals Business Intelligence, Analytics Desktop en BI Publisher.
WID-SEC-W-2024-0679Apache Commons: Mehrere Schwachstellen ermöglichen nicht spezifizierten AngriffDeutsch2024-03-20csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache Commons ausnutzen, um einen nicht näher spezifizierten Angriff durchzuführen.
WID-SEC-W-2024-1360IBM DB2: Mehrere SchwachstellenDeutsch2024-06-11csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in IBM DB2 ausnutzen, um einen Denial of Service Angriff durchzuführen, beliebigen Code auszuführen und vertrauliche Informationen offenzulegen.
WID-SEC-W-2024-3191Oracle Fusion Middleware: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Fusion Middleware ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2025-0051SAP Patchday Januar 2025: Mehrere SchwachstellenDeutsch2025-01-13csaf · cert_bundDE
Ein Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, vertrauliche Informationen preiszugeben, Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand zu erzeugen, einen Cross-Site-Scripting-Angriff durchzuführen, beliebigen Code auszuführen und Daten zu manipulieren.
GHSA-xjp4-hw94-mvp5Apache Commons Configuration: StackOverflowError adding property in AbstractListDelimiterHandler.flattenIterator()2024-03-21ghsa · osvUS
This Out-of-bounds Write vulnerability in Apache Commons Configuration affects Apache Commons Configuration: from 2.0 before 2.10.1. User can see this as a 'StackOverflowError' when adding a property in 'AbstractListDelimiterHandler.flattenIterator()'. Users are recommended to upgrade to version 2.10.1, which fixes the issue.

also known as (4)

Other names and identifiers for this entity.

sources

Which sources assert this record, and when.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl osv NVD CVE.org MITRE

published 2024-03-21modified 2026-06-17

references (17)

External citations — patches, advisories, analysis.

scry

Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.

Free scan