CVE-2016-6801
WysokieStreszczenie
W podatności CVE-2016-6801 występuje problem z weryfikacją typu zawartości w Jackrabbit-Webdav, co umożliwia atakującym zdalne przejęcie uwierzytelnienia ofiar podczas tworzenia zasobów za pomocą żądania HTTP POST z brakującym lub spreparowanym nagłówkiem Content-Type.
Ocena ryzyka
Atak CSRF może prowadzić do nieautoryzowanego dostępu do zasobów i potencjalnej utraty danych, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację Apache Jackrabbit do wersji 2.4.6, 2.6.6, 2.8.3, 2.10.4, 2.12.4 lub 2.13.3, aby usunąć tę podatność.
Inne podatności w Apache Jackrabbit
Zobacz wszystkie- CVE-2026-92414Krytyczne
Podatność typu Session Fixation / Session Reuse w Apache Jackrabbit. Serwer WebDAV dołącza buforowaną, uwierzytelnioną sesję do dowolnego dopasowania tokena Lock-Token/TransactionId/SubscriptionId/If-header bez weryfikacji poświadczeń. Dotyczy wersji od 2.23.0 do 2.23.5, od 2.22.0 do 2.22.4 oraz od 2.20.0 do 2.20.17.
- CVE-2026-92415Średnie
Podatność typu "Użycie zewnętrznie kontrolowanego wejścia do wyboru klas lub kodu" w kliencie WebDAV/Davex Apache Jackrabbit. Złośliwy serwer WebDAV/DavEx lub atakujący mogący przechwycić połączenie może spowodować, że klient utworzy dowolne klasy z jego classpath, co może prowadzić do dowolnego tworzenia lub obcinania plików. Dotyczy to tylko aplikacji używających jackrabbit-spi2dav (bezpośrednio lub przez jackrabbit-jcr2dav) do połączenia ze zdalnym repozytorium. Serwery Jackrabbit nie są dotknięte. Kategoria: niebezpieczna refleksja na danych sieciowych (WYSOKA).
- CVE-2025-58782Średnie
Podatność na deserializację niezaufanych danych w Apache Jackrabbit Core i Apache Jackrabbit JCR Commons (wersje od 1.0.0 do 2.22.1). Wdrożenia akceptujące identyfikatory URI JNDI do wyszukiwania JCR od niezaufanych użytkowników pozwalają im wstrzykiwać złośliwe referencje JNDI, co może prowadzić do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
Cross-site request forgery (CSRF) vulnerability in the CSRF content-type check in Jackrabbit-Webdav in Apache Jackrabbit 2.4.x before 2.4.6, 2.6.x before 2.6.6, 2.8.x before 2.8.3, 2.10.x before 2.10.4, 2.12.x before 2.12.4, and 2.13.x before 2.13.3 allows remote attackers to hijack the authentication of unspecified victims for requests that create a resource via an HTTP POST request with a (1) missing or (2) crafted Content-Type header.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS