CVE-2026-115748

WysokieCVSS 8.8

Opublikowano: 26/10/2026(UTC)Zaktualizowano: 02/11/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.61%

Percentyl 49 - wyżej niż 49% wszystkich znanych CVE

Streszczenie

Apache Vysper, biblioteka serwera XMPP (Jabber), we wszystkich wersjach ma brak sprawdzenia uwierzytelniania w implementacji XEP-0077 (In-Band Registration). Dowolny uwierzytelniony użytkownik może przejąć inne konta. Projekt został wycofany i nie zostanie wydana poprawka.

Ocena ryzyka

Uwierzytelniony użytkownik może przejąć konta innych użytkowników, co prowadzi do naruszenia poufności i integralności komunikacji. Brak wsparcia producenta oznacza brak przyszłych poprawek bezpieczeństwa.

Rekomendacja

Zaleca się znalezienie alternatywnego rozwiązania zamiast Apache Vysper. Do czasu migracji ogranicz dostęp do rejestracji w paśmie i monitoruj konta.

Inne podatności w Apache Vysper

CVE-2026-115721Wysokie
Apache Vysper, biblioteka serwera XMPP (Jabber), we wszystkich wersjach zawiera nieograniczoną alokację podczas parsowania XML, co może prowadzić do wyczerpania pamięci. Projekt został wycofany i nie zostanie wydana poprawka.

Oryginalny opis (angielski, źródło NVD)

**UNSUPPORTED WHEN ASSIGNED** Authorization bypass in Apache Vysper, all versions. Apache Vysper is an XMPP (Jabber) server library. Its XEP-0077 (In-Band Registration) implementation is missing an authentication check, allowing any authenticated user to compromise other accounts. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS