CVE-2026-92414
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 48 - wyżej niż 48% wszystkich znanych CVE
Streszczenie
Podatność typu Session Fixation / Session Reuse w Apache Jackrabbit. Serwer WebDAV dołącza buforowaną, uwierzytelnioną sesję do dowolnego dopasowania tokena Lock-Token/TransactionId/SubscriptionId/If-header bez weryfikacji poświadczeń. Dotyczy wersji od 2.23.0 do 2.23.5, od 2.22.0 do 2.22.4 oraz od 2.20.0 do 2.20.17.
Ocena ryzyka
Atakujący może przejąć sesję innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i operacji w repozytorium Jackrabbit. Może to naruszyć poufność i integralność przechowywanych treści.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 2.23.6, 2.22.5 lub 2.20.18, które naprawiają tę podatność. Należy również rozważyć ograniczenie dostępu do serwera WebDAV.
Inne podatności w Apache Jackrabbit
Zobacz wszystkie- CVE-2016-6801Wysokie
W podatności CVE-2016-6801 występuje problem z weryfikacją typu zawartości w Jackrabbit-Webdav, co umożliwia atakującym zdalne przejęcie uwierzytelnienia ofiar podczas tworzenia zasobów za pomocą żądania HTTP POST z brakującym lub spreparowanym nagłówkiem Content-Type.
- CVE-2026-92415Średnie
Podatność typu "Użycie zewnętrznie kontrolowanego wejścia do wyboru klas lub kodu" w kliencie WebDAV/Davex Apache Jackrabbit. Złośliwy serwer WebDAV/DavEx lub atakujący mogący przechwycić połączenie może spowodować, że klient utworzy dowolne klasy z jego classpath, co może prowadzić do dowolnego tworzenia lub obcinania plików. Dotyczy to tylko aplikacji używających jackrabbit-spi2dav (bezpośrednio lub przez jackrabbit-jcr2dav) do połączenia ze zdalnym repozytorium. Serwery Jackrabbit nie są dotknięte. Kategoria: niebezpieczna refleksja na danych sieciowych (WYSOKA).
- CVE-2025-58782Średnie
Podatność na deserializację niezaufanych danych w Apache Jackrabbit Core i Apache Jackrabbit JCR Commons (wersje od 1.0.0 do 2.22.1). Wdrożenia akceptujące identyfikatory URI JNDI do wyszukiwania JCR od niezaufanych użytkowników pozwalają im wstrzykiwać złośliwe referencje JNDI, co może prowadzić do wykonania dowolnego kodu.
Oryginalny opis (angielski, źródło NVD)
: Session Fixation / Session Reuse across Users vulnerability in Apache Jackrabbit. Jackrabbit WebDAV server attaches a cached authenticated session on any Lock-Token/TransactionId/SubscriptionId/If-header field token match with no credential check. This issue affects Apache Jackrabbit: from 2.23.0 through 2.23.5, from 2.22.0 through 2.22.4, from 2.20.0 through 2.20.17. Users are recommended to upgrade to versions 2.23.6, 2.22.5, or 2.20.18 which fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS