Apache HttpClient

CVE-2020-13956

MEDIUM 5.3

At a glance

Source: NVD
EPSS: EPSS 9.03 % · percentile 95 (2026-10-29)
State: PUBLISHED
Published: 2020-12-02 16:20 UTC
Updated: 2026-10-08 18:44 UTC
Assigner: apache
NVD status: Modified

Search on…

Description

Apache HttpClient versions prior to version 4.5.13 and 5.0.3 can misinterpret malformed authority component in request URIs passed to the library as java.net.URI object and pick the wrong target host for request execution.

Weaknesses (CWE)

CWE-20 — Improper Input Validation

References

Scores

Version	Score	Vector	Scored by
CVSS 3.1	MEDIUM 5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N	CISA-ADP
CVSS 3.1	MEDIUM 5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N	NVD · nvd@nist.gov (Primary)
CVSS 3.1	MEDIUM 5.3	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N	NVD · 134c704f-9b21-4f2e-91b3-4a467353bcc0 (Secondary)
CVSS 2.0	MEDIUM 5.0	AV:N/AC:L/Au:N/C:N/I:P/A:N	NVD · nvd@nist.gov (Primary)

Advisories

GHSA-7r82-7xv7-xcpj — Cross-site scripting in Apache HttpClient

European references

ENISA EUVD · EUVD-2021-1284
GCVE · GCVE-0-2020-13956

CERT-FR advisories

CERTFR-2026-AVI-1291 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0958 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2026-AVI-0556 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0590 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2024-AVI-0459 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0861 — Multiples vulnérabilités dans Oracle WebLogic · cert.ssi.gouv.fr
CERTFR-2023-AVI-0839 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2023-AVI-0110 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2022-AVI-056 — Multiples vulnérabilités dans Oracle WebLogic Server · cert.ssi.gouv.fr
CERTFR-2021-AVI-943 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
CERTFR-2021-AVI-804 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2021-AVI-559 — Multiples vulnérabilités dans Oracle PeopleSoft · cert.ssi.gouv.fr
CERTFR-2021-AVI-556 — Multiples vulnérabilités dans Oracle Database Server · cert.ssi.gouv.fr

Affected configurations (NVD CPE)

cpe:2.3:a:apache:httpclient:*:*:*:*:*:*:*:* < 4.5.13
cpe:2.3:a:apache:httpclient:*:*:*:*:*:*:*:* ≥ 5.0.0 < 5.0.3
cpe:2.3:a:quarkus:quarkus:*:*:*:*:*:*:*:* < 1.7.6
cpe:2.3:a:oracle:data_integrator:12.2.1.3.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:data_integrator:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:jd_edwards_enterpriseone_orchestrator:*:*:*:*:*:*:*:* < 9.2.6.0
cpe:2.3:a:oracle:jd_edwards_enterpriseone_tools:*:*:*:*:*:*:*:* < 9.2.6.0
cpe:2.3:a:oracle:nosql_database:*:*:*:*:*:*:*:* < 20.3
cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.57:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools:8.58:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_pt_peopletools:8.57:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_pt_peopletools:8.58:*:*:*:*:*:*:*
cpe:2.3:a:oracle:peoplesoft_enterprise_pt_peopletools:8.59:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:*:*:*:*:*:*:*:* ≥ 17.7 ≤ 17.12
cpe:2.3:a:oracle:primavera_unifier:16.1:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:16.2:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:18.8:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:19.12:*:*:*:*:*:*:*
cpe:2.3:a:oracle:primavera_unifier:20.12:*:*:*:*:*:*:*
cpe:2.3:a:oracle:retail_customer_management_and_segmentation_foundation:*:*:*:*:*:*:*:* ≥ 16.0 ≤ 19.0
cpe:2.3:a:oracle:spatial_studio:*:*:*:*:*:*:*:* < 20.1.1
cpe:2.3:a:oracle:sql_developer:*:*:*:*:*:*:*:* < 20.4.1.407.0006
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:linux:*:*
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*
cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:*
cpe:2.3:a:netapp:snapcenter:-:*:*:*:*:*:*:*
cpe:2.3:a:oracle:commerce_guided_search:11.3.2:*:*:*:*:*:*:*
cpe:2.3:a:oracle:communications_cloud_native_core_service_communication_proxy:1.14.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:sql_developer:*:*:*:*:*:*:*:* < 21.99
cpe:2.3:a:oracle:weblogic_server:12.2.1.4.0:*:*:*:*:*:*:*
cpe:2.3:a:oracle:weblogic_server:14.1.1.0.0:*:*:*:*:*:*:*

Affected products

Product	Versions
Apache HttpClient	affected 4.5.12 and prior, 5.0.2 and prior

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD

🟡 Apache HttpClient