CVE-2026-108089
NieznaneStreszczenie
W Apache Cocoon występuje podatność ujawnienia wrażliwych informacji systemowych nieuprawnionemu podmiotowi. Nieuwierzytelniony użytkownik może uzyskać dostęp do interfejsów diagnostycznych, w tym wyzwalać pamięć podręczną oraz ujawniać szczegółowe logi debugowania i informacje profilowe. Projekt został wycofany i nie planuje się wydania poprawki.
Ocena ryzyka
Nieuwierzytelniony atakujący może pozyskać informacje diagnostyczne i debugowe, które ułatwiają dalsze ataki lub ujawniają dane wewnętrzne.
Rekomendacja
Ogranicz dostęp do instancji Apache Cocoon wyłącznie do zaufanych użytkowników lub zastąp go alternatywnym, wspieranym rozwiązaniem.
Inne podatności w Apache Cocoon
Zobacz wszystkie- CVE-2026-108088Nieznane
Podatność w Apache Cocoon polega na używaniu pamięci podręcznej zawierającej poufne informacje. W aplikacjach wieloużytkownikowych wartości z pamięci podręcznej jednego użytkownika mogą być wykorzystane przy obsłudze treści dla innych użytkowników.
- CVE-2026-108087Nieznane
Podatność w Apache Cocoon polega na niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL (SQL injection). Brak sanityzacji danych wejściowych umożliwia dowolną iniekcję SQL poprzez procesor SQL lub logicsheets sql:/esql:.
- CVE-2026-108086Nieznane
Podatność w Apache Cocoon polega na niewłaściwym ograniczaniu rekurencyjnych odwołań do encji w DTD (rozszerzanie encji XML). XEE w procesorze formularzy fp: może prowadzić do SSRF, w tym ujawnienia plików z serwera do niezaufanego systemu zewnętrznego.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** Exposure of sensitive system information to an unauthorized control sphere vulnerability in Apache Cocoon. An unauthenticated user could gain access to diagnostic interfaces, including triggering of cache, exposure of (verbose) debug logging and profile information. This issue affects Apache Cocoon: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS