CVE-2024-29133

criticalpriority · track · 1EPSS 0.017 · 77 %ileDEEUNLRUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

1.73% (77th) EPSS

CVSS 9.8 · critical

Is it mine?

184 products

Check your exposure

Who says so?

6 sources

cnnvd · enisa_euvd · fstec_bdu · cert_bund

EPSS · scored 2026-10-26

Out-of-bounds Write vulnerability in Apache Commons Configuration.This issue affects Apache Commons Configuration: from 2.0 before 2.10.1. Users are recommended to upgrade to version 2.10.1, which fixes the issue.

cvss

Technical severity, 0–10. One row per scoring source.

9.8

010

base score 0–10 · higher = more severe · hover a vector to decode⚠ sources disagree · medium–critical · 5–9.8

v3.19.8criticalAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hsecondary · FSTEC (BDU) RU

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:Nsecondary · ENISA EU

v3.15.4mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:Nsecondaryexploitability 2.8 · impact 2.5

v3.16.5mediumCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:Lsecondary · OSV

v3.15mediumCVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N/E:Usecondary · CVSS-BT (t0sche)

v3.17.3highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:Lsecondary · NCSC-NL NL

ssvc

A stakeholder decision — act, attend, or track — from exploitation and impact.

Trackcoordinatorcisa_ssvcUS

weaknesses

The CWE weakness classes this flaw belongs to.

CWE-787USCWE-787USCWE-787USCWE-787US

affected products (184)

Products and version ranges known to be affected.

Apache Commons Configuration <2.10.1all versionscert_bundDE
Atlassian Confluence <7.19.26-7.19.28 (LTS)) >all versionscert_bundDE
Atlassian Confluence <8.5.11-8.5.16 (LTS) >all versionscert_bundDE
Atlassian Confluence <8.9.3-8.9.7 >all versionscert_bundDE
Fedora Linuxall versionscert_bundDEcpe:/o:fedoraproject:fedora:-
IBM QRadar SIEMall versionscert_bundDEcpe:/a:ibm:qradar_siem:-
IBM QRadar SIEM <7.5.0 UP12all versionscert_bundDE
IBM SPSSall versionscert_bundDEcpe:/a:ibm:spss:modeler
Red Hat Enterprise Linuxall versionscert_bundDEcpe:/o:redhat:enterprise_linux:-
Red Hat JBoss A-MQ Broker <7.12.0all versionscert_bundDE
SUSE Linuxall versionscert_bundDEcpe:/o:suse:suse_linux:-
SolarWinds Platform <2026.2all versionscert_bundDE
Apache Commons≤ Configuration <2.10.1cert_bundDE
Atlassian Confluence≤ Data Center <8.9.3cert_bundDE
Atlassian Confluence< 7.19.24 LTScert_bundDE
Atlassian Confluence< 7.19.26-7.19.28 (LTS)) >cert_bundDE
Atlassian Confluence< 8.5.11 LTScert_bundDE
Atlassian Confluence< 8.5.11-8.5.16 (LTS) >cert_bundDE
Atlassian Confluence< 8.9.3-8.9.7 >cert_bundDE
IBM QRadar SIEM< 7.5.0 UP12cert_bundDE

showing 20 of 184

advisories (14)

Vendor and ecosystem advisories describing this.

NCSC-2024-0293Kwetsbaarheden verholpen in Oracle Communications ApplicationsNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle Communications Applications.
NCSC-2024-0297 Kwetsbaarheden verholpen in Oracle Financial Services ApplicationsNL2024-07-17csaf · ncsc_nlNL
Er zijn kwetsbaarheden verholpen in Oracle Financial Services Applications.
NCSC-2024-0411Kwetsbaarheden verholpen in Oracle Database productenNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Database producten en subsystemen, zoals de Core database, Application Express, Autonomous Health Framework, Essbase, GoldenGate, SQL Developer en Secure Backup.
NCSC-2024-0414Kwetsbaarheden verholpen in Oracle CommunicationsNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in diverse Communications producten en systemen.
NCSC-2024-0418Kwetsbaarheden verholpen in Oracle AnalyticsNL2024-10-17csaf · ncsc_nlNL
Oracle heeft kwetsbaarheden verholpen in Analytics producten.
NCSC-2025-0021Kwetsbaarheden verholpen in Oracle CommunicationsNL2025-01-22csaf · ncsc_nlNL
Oracle heeft meerdere kwetsbaarheden verholpen in zijn Communicatieproducten, waaronder Oracle Communications Unified Assurance, Oracle Communications Cloud Native Core Network Function en Oracle Communications Order and Service Management.
WID-SEC-W-2024-0679Apache Commons: Mehrere Schwachstellen ermöglichen nicht spezifizierten AngriffDeutsch2024-03-20csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Apache Commons ausnutzen, um einen nicht näher spezifizierten Angriff durchzuführen.
WID-SEC-W-2024-1360IBM DB2: Mehrere SchwachstellenDeutsch2024-06-11csaf · cert_bundDE
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in IBM DB2 ausnutzen, um einen Denial of Service Angriff durchzuführen, beliebigen Code auszuführen und vertrauliche Informationen offenzulegen.
WID-SEC-W-2024-1638Oracle Financial Services Applications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Financial Services Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-1643Oracle Communications Applications: Mehrere SchwachstellenDeutsch2024-07-16csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2024-3196Oracle Communications Applications: Mehrere SchwachstellenDeutsch2024-10-15csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
WID-SEC-W-2025-0051SAP Patchday Januar 2025: Mehrere SchwachstellenDeutsch2025-01-13csaf · cert_bundDE
Ein Angreifer kann diese Schwachstellen ausnutzen, um seine Privilegien zu erweitern, vertrauliche Informationen preiszugeben, Sicherheitsmaßnahmen zu umgehen, einen Denial-of-Service-Zustand zu erzeugen, einen Cross-Site-Scripting-Angriff durchzuführen, beliebigen Code auszuführen und Daten zu manipulieren.
WID-SEC-W-2025-0135Oracle Communications Applications: Mehrere SchwachstellenDeutsch2025-01-21csaf · cert_bundDE
Ein entfernter, anonymer oder authentisierter Angreifer kann mehrere Schwachstellen in Oracle Communications Applications ausnutzen, um die Vertraulichkeit, Integrität und Verfügbarkeit zu gefährden.
GHSA-9w38-p64v-xpmvApache Commons Configuration: StackOverflowError calling ListDelimiterHandler.flatten(Object, int) with a cyclical object tree2024-03-21ghsa · osvUS
This Out-of-bounds Write vulnerability in Apache Commons Configuration affects Apache Commons Configuration: from 2.0 before 2.10.1. User can see this as a 'StackOverflowError' calling 'ListDelimiterHandler.flatten(Object, int)' with a cyclical object tree. Users are recommended to upgrade to version 2.10.1, which fixes the issue.

also known as (4)

Other names and identifiers for this entity.

sources

Which sources assert this record, and when.

cnnvd enisa_euvd fstec_bdu cert_bund ncsc_nl osv NVD CVE.org MITRE

published 2024-03-21modified 2026-06-17

references (16)

External citations — patches, advisories, analysis.

scry

Attackers weaponise vulnerabilities like this against internet-exposed services. See what is exposed on your perimeter with a free passive scan.

Free scan