CVE-2026-41041
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
W Apache Gravitino wykryto podatność na wstrzykiwanie ścieżek URL przez nieskodowane identyfikatory dostarczane przez użytkownika. Problem dotyczy wersji od 1.0.0 do 1.2.0.
Ocena ryzyka
Atakujący może manipulować ścieżkami URL, potencjalnie uzyskując dostęp do nieautoryzowanych zasobów lub wykonując niepożądane operacje na serwerze.
Rekomendacja
Należy niezwłocznie zaktualizować Apache Gravitino do wersji 1.2.1, która zawiera poprawkę eliminującą podatność.
Inne podatności w Apache Gravitino
Zobacz wszystkie- CVE-2026-41042Krytyczne
Nieuwierzytelnieni atakujący mogą dostarczyć złośliwy adres URL JDBC H2 przez interfejs API testConnection, co umożliwia wykonanie dowolnego kodu Java na serwerze za pomocą parametru INIT H2. Podatność dotyczy Apache Gravitino przed wersją 1.2.1.
- CVE-2026-49876Średnie
Uwierzytelniony SSRF w Gravitino JobManager umożliwia wykonywanie żądań HTTP do wewnętrznej sieci i punktów końcowych metadanych chmury poprzez niezweryfikowane URI szablonów zadań. Podatność dotyczy Apache Gravitino w wersjach od 1.0.0 do 1.2.1.
Oryginalny opis (angielski, źródło NVD)
URL path injection via unencoded user-supplied identifiers vulnerability in Apache Gravitino. This issue affects Apache Gravitino: from 1.0.0 before 1.2.1. Users are recommended to upgrade to version 1.2.1, which fixes the issue.