CVE-2026-43828
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Domyślne konfiguracje Apache Shiro wysyłają wrażliwe ciasteczka (JSESSIONID i rememberMe) w sesjach HTTPS bez atrybutu 'Secure'. Dotyczy to wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. Problem został naprawiony w wersjach 2.1.1 i 3.0.0-alpha-2.
Ocena ryzyka
Ciasteczka mogą być przechwycone przez atakującego podczas transmisji przez niezabezpieczone połączenie, co umożliwia kradzież sesji i podszywanie się pod użytkownika.
Rekomendacja
Należy zaktualizować Apache Shiro do wersji 2.1.1 lub 3.0.0-alpha-2 (lub nowszej) oraz skonfigurować atrybut Secure dla ciasteczek.
Inne podatności w Apache Shiro
Zobacz wszystkie- CVE-2016-6802Wysokie
Apache Shiro w wersjach przed 1.3.2 pozwala atakującym na ominięcie zamierzonych filtrów serwletów i uzyskanie dostępu poprzez wykorzystanie nie-rootowej ścieżki kontekstu serwletu.
- CVE-2014-0074Wysokie
Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.
- CVE-2026-49268Krytyczne
Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.
- CVE-2023-34478Krytyczne
Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.
- CVE-2026-48589Średnie
Moduł Jakarta EE w Apache Shiro (wersje od 2.0-alpha do 2.2.0 oraz 3.0.0-alpha-1) używa nagłówka HTTP Referer do przekierowania po zalogowaniu. Niewystarczająca walidacja tego kontrolowanego przez klienta nagłówka może pozwolić atakującemu na wpływanie na cel przekierowania.
- CVE-2026-44598Średnie
Apache Shiro w wersjach od 2.0-alpha do 2.1.0 oraz 3.0.0-alpha-1, przy użyciu modułu shiro-jakarta-ee, zawiera podatności na Open Redirect i SSRF. Po zalogowaniu ciasteczko shiroSavedRequest nie było walidowane, co pozwala na przekierowanie do dowolnego URL i wykonanie żądania GET z serwera.
- CVE-2026-43827Średnie
Domyślne konfiguracje Apache Shiro mają podatność na fiksację sesji. Dotyczy wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. W podatnych wersjach, gdy sesja już istnieje, nie jest unieważniana po pomyślnym logowaniu, ani nie jest generowana nowa sesja z nowym ID. Zalecana jest aktualizacja do wersji 2.1.1 lub 3.0.0-alpha-2.
- CVE-2026-23903Średnie
Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.
Oryginalny opis (angielski, źródło NVD)
Default configurations of Apache Shiro send sensitive cookies in HTTPS session without 'Secure' attribute. This issue affects Apache Shiro from 1.0 to 2.1.0, and 3.0.0-alpha-1. Users are recommended to upgrade to version 2.1.1, or 3.0.0-alpha-2 or later, which fixes the issue. In the affected versions, Shiro-native session manager, as well as Remember-Me manager sends JSESSIONID and rememberMe cookies without 'secure' attribute by default.