CVE-2026-44613
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Apache Zeppelin w wersjach od 0.6.0 do 0.12.0 jest podatny na Cross-Site Request Forgery (CSRF). Domyślna konfiguracja CORS zezwala na żądania zmieniające stan z innych domen oraz akceptuje treść text/plain, co pozwala atakującemu na wykonywanie działań w imieniu uwierzytelnionego użytkownika.
Ocena ryzyka
Atakujący może nakłonić uwierzytelnionego użytkownika do wykonania niepożądanych działań przez REST i WebSocket, co może prowadzić do naruszenia danych lub konfiguracji.
Rekomendacja
Zaleca się aktualizację Apache Zeppelin do wersji 0.12.1, która zawiera poprawkę.
Inne podatności w Apache Zeppelin
Zobacz wszystkie- CVE-2026-44615Średnie
W Apache Zeppelin w wersjach od 0.9.0 do 0.12.0, gdy skonfigurowany jest FileSystemNotebookRepo, uwierzytelniony atakujący z uprawnieniami do zmiany nazwy notatki lub dostępu do operacji na folderach może użyć sekwencji nawigacyjnych w ścieżkach notatek lub folderów. Zeppelin łączy te wartości ze ścieżkami systemu plików bez sprawdzania, czy wynik pozostaje w skonfigurowanym katalogu notatników, co może pozwolić na przenoszenie, zapisywanie lub usuwanie plików poza katalogiem głównym notatników.
- CVE-2026-44617Średnie
Apache Zeppelin w wersjach 0.11.1, 0.11.2 i 0.12.0 jest podatny na wstrzykiwanie filtrów LDAP. LdapRealm używa nieprawidłowego kodowania (RFC 4514 zamiast RFC 4515), co pozostawia znaki filtrów niedostatecznie zabezpieczone. Jest to niekompletna poprawka CVE-2024-31867.
- CVE-2026-44616Średnie
Apache Zeppelin w wersjach od 0.6.0 do 0.12.0 jest podatny na wstrzykiwanie LDAP. ActiveDirectoryGroupRealm konstruuje filtry LDAP bez kodowania danych wejściowych użytkownika, co pozwala uwierzytelnionemu atakującemu na wstrzyknięcie składni filtra przez endpoint user-search.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) vulnerability in Apache Zeppelin. The default CORS configuration allowed cross-origin state-changing requests and accepted text/plain request bodies, allowing an attacker who lures an authenticated user to a malicious site to perform actions on the user's behalf through REST and WebSocket endpoints. This issue affects Apache Zeppelin versions 0.6.0 through 0.12.0. Users are recommended to upgrade to version 0.12.1, which fixes this issue.