Pippo RCE Vulnerability

2022-05-1301:19:33

Google

osv.dev

0.003 Low

EPSS

Percentile

69.9%

JSON

Pippo through 1.11.0 allows remote code execution via a command to java.lang.ProcessBuilder because the XstreamEngine component does not use XStream’s available protection mechanisms to restrict unmarshalling.

CPENameOperatorVersion
ro.pippo:pippo-coreeq1.9.0
ro.pippo:pippo-sessioneq1.10.0
ro.pippo:pippo-sessioneq0.4.1
ro.pippo:pippo-sessioneq1.4.0
ro.pippo:pippo-sessioneq1.5.0
ro.pippo:pippo-coreeq0.8.0
ro.pippo:pippo-coreeq1.3.0
ro.pippo:pippo-sessioneq1.7.0
ro.pippo:pippo-coreeq0.4.2
ro.pippo:pippo-sessioneq0.6.1

Name	Operator	Version
ro.pippo:pippo-core	eq	1.9.0
ro.pippo:pippo-session	eq	1.10.0
ro.pippo:pippo-session	eq	0.4.1
ro.pippo:pippo-session	eq	1.4.0
ro.pippo:pippo-session	eq	1.5.0
ro.pippo:pippo-core	eq	0.8.0
ro.pippo:pippo-core	eq	1.3.0
ro.pippo:pippo-session	eq	1.7.0
ro.pippo:pippo-core	eq	0.4.2
ro.pippo:pippo-session	eq	0.6.1