1、产品描述：

Apache Tapestry是一个用Java编写的开源Web框架。 它是一个component based web framework 。 Tapestry组件是Java类。 Tapestry使用的Java的重要特征是Annotation 。Tapestry网页是使用一个或多个组件构建的，每个组件都有一个基于XML的模板和用大量Tapestry的Annotations修饰的组件类。 Tapestry可以创建从小型单页Web应用程序到由数百页组成的大型Web应用程序。

2、漏洞描述：

2022年12月2日，Apache发布安全公告，公开了存在于Apache Tapestry 3.x的反序列化漏洞，Apache Tapestry 3.x 允许反序列化不受信任的数据，攻击者可通过传入包含恶意负载的 service parameter （sp）参数远程执行恶意代码

影响版本：Apache Tapestry 3.x 版本（此版本不在维护）

风险等级：严重

CNNVD编号：暂无

CVE编号：CVE-2022-46366

安全版本：Apache Tapestry 5.x 版本

3、漏洞来源：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-46366

https://www.oscs1024.com/hd/MPS-2022-66596

https://nvd.nist.gov/vuln/detail/CVE-2022-46366