CVE-2026-108087
NieznaneStreszczenie
Podatność w Apache Cocoon polega na niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (SQL injection). Brak sanityzacji danych wejściowych umożliwia dowolną iniekcję SQL poprzez procesor SQL lub logicsheets sql:/esql:.
Ocena ryzyka
Atakujący może wykonywać dowolne zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do danych, ich modyfikacji lub usunięcia.
Rekomendacja
Zaleca się znalezienie alternatywnego rozwiązania lub ograniczenie dostępu do instancji wyłącznie dla zaufanych użytkowników, ponieważ projekt nie jest już wspierany.
Inne podatności w Apache Cocoon
Zobacz wszystkie- CVE-2026-108089Nieznane
W Apache Cocoon występuje podatność ujawnienia wrażliwych informacji systemowych nieuprawnionemu podmiotowi. Nieuwierzytelniony użytkownik może uzyskać dostęp do interfejsów diagnostycznych, w tym wyzwalać pamięć podręczną oraz ujawniać szczegółowe logi debugowania i informacje profilowe. Projekt został wycofany i nie planuje się wydania poprawki.
- CVE-2026-108088Nieznane
Podatność w Apache Cocoon polega na używaniu pamięci podręcznej zawierającej poufne informacje. W aplikacjach wieloużytkownikowych wartości z pamięci podręcznej jednego użytkownika mogą być wykorzystane przy obsłudze treści dla innych użytkowników.
- CVE-2026-108086Nieznane
Podatność w Apache Cocoon polega na niewłaściwym ograniczaniu rekurencyjnych odwołań do encji w DTD (rozszerzanie encji XML). XEE w procesorze formularzy fp: może prowadzić do SSRF, w tym ujawnienia plików z serwera do niezaufanego systemu zewnętrznego.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** Improper neutralization of special elements used in an SQL command ('SQL injection') vulnerability in Apache Cocoon. This issue affects Apache Cocoon: all versions. Missing input sanitation would allow arbitrary SQL injection through the SQL processor or sql:/esql: logicsheets. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS