CVE-2026-46729

W module mod_proxy_ftp serwera Apache HTTP Server do wersji 2.4.68 występuje nieprawidłowa walidacja adresu odpowiedzi PASV. W konfiguracji forward proxy niezaufany serwer FTP może poprzez spreparowaną odpowiedź PASV spowodować, że proxy otworzy połączenie danych z dowolnym hostem trzecim.

W serwerze Apache HTTP Server na systemach Windows, podczas przetwarzania ścieżek z nazwami 8.3, które mogą się rozszerzać, występuje podatność zapisu poza zakresem (out-of-bounds write). Dotyczy wersji od 2.4.0 do 2.4.68.

W module mod_dav_fs serwera Apache HTTP Server przed wersją 2.4.69, wewnętrzne pliki stanu są dostępne dla zewnętrznych podmiotów. Zdalny klient może odczytać martwe właściwości WebDAV zasobów, których nie może modyfikować, wysyłając żądanie GET do katalogu stanu .DAV.

W module mod_proxy_html serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write) przy przetwarzaniu spreparowanych treści odpowiedzi HTTP.

W module mod_charset_lite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write).

W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 brakuje kontroli uwierzytelniania. Nieuwierzytelniony zdalny klient może spowodować odmowę usługi (wymuszone ponowne uwierzytelnienie) poprzez sfałszowane nagłówki Authorization, gdy włączone jest uwierzytelnianie Digest z AuthDigestNcCheck.

W module mod_session_cookie Apache HTTP Server występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Gdy SessionCookieRemove zmienia się podczas wewnętrznych przekierowań, ciasteczko sesji może być nadal przekazywane do serwera backendowego.

Błąd w obliczaniu pamięci w mod_dav w Apache httpd 2.4.67 i wcześniejszych pozwala atakującemu z uprawnieniami do tworzenia blokad WebDAV na spowodowanie awarii procesów potomnych serwera. Użytkownikom zaleca się aktualizację do wersji 2.4.69, która naprawia ten problem.

Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.

Apache httpd pozwala zdalnym atakującym na odczytanie tajnych danych z pamięci procesu, jeśli dyrektywa Limit może być ustawiona w pliku .htaccess użytkownika lub jeśli httpd.conf ma określone błędne konfiguracje. Problem ten dotyczy serwera Apache HTTP w wersjach do 2.2.34 oraz 2.4.x do 2.4.27.