CVE-2026-43827
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Domyślne konfiguracje Apache Shiro mają podatność na fiksację sesji. Dotyczy wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. W podatnych wersjach, gdy sesja już istnieje, nie jest unieważniana po pomyślnym logowaniu, ani nie jest generowana nowa sesja z nowym ID. Zalecana jest aktualizacja do wersji 2.1.1 lub 3.0.0-alpha-2.
Ocena ryzyka
Atakujący może zmusić ofiarę do użycia znanego identyfikatora sesji, a po zalogowaniu ofiary przejąć jej sesję, uzyskując nieautoryzowany dostęp do konta.
Rekomendacja
Zaktualizuj Apache Shiro do wersji 2.1.1 lub 3.0.0-alpha-2 lub nowszej. Wdróż mechanizm regeneracji ID sesji po logowaniu.
Inne podatności w Apache Shiro
Zobacz wszystkie- CVE-2016-6802Wysokie
Apache Shiro w wersjach przed 1.3.2 pozwala atakującym na ominięcie zamierzonych filtrów serwletów i uzyskanie dostępu poprzez wykorzystanie nie-rootowej ścieżki kontekstu serwletu.
- CVE-2014-0074Wysokie
Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.
- CVE-2026-49268Krytyczne
Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.
- CVE-2023-34478Krytyczne
Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.
- CVE-2026-48589Średnie
Moduł Jakarta EE w Apache Shiro (wersje od 2.0-alpha do 2.2.0 oraz 3.0.0-alpha-1) używa nagłówka HTTP Referer do przekierowania po zalogowaniu. Niewystarczająca walidacja tego kontrolowanego przez klienta nagłówka może pozwolić atakującemu na wpływanie na cel przekierowania.
- CVE-2026-44598Średnie
Apache Shiro w wersjach od 2.0-alpha do 2.1.0 oraz 3.0.0-alpha-1, przy użyciu modułu shiro-jakarta-ee, zawiera podatności na Open Redirect i SSRF. Po zalogowaniu ciasteczko shiroSavedRequest nie było walidowane, co pozwala na przekierowanie do dowolnego URL i wykonanie żądania GET z serwera.
- CVE-2026-43828Średnie
Domyślne konfiguracje Apache Shiro wysyłają wrażliwe ciasteczka (JSESSIONID i rememberMe) w sesjach HTTPS bez atrybutu 'Secure'. Dotyczy to wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. Problem został naprawiony w wersjach 2.1.1 i 3.0.0-alpha-2.
- CVE-2026-23903Średnie
Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.
Oryginalny opis (angielski, źródło NVD)
Default configurations of Apache Shiro have a session fixation vulnerability. This issue affects Apache Shiro from 1.0 to 2.1.0, and 3.0.0-alpha-1. Users are recommended to upgrade to version 2.1.1, or 3.0.0-alpha-2 or later, which fixes the issue. In the affected versions, when a session already exists, it is not invalidated upon successful login, nor is a new session being generated with a new ID.