CVE-2026-47360
WysokieCVSS 7.5Streszczenie
W module mod_session_cookie Apache HTTP Server występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Gdy SessionCookieRemove zmienia się podczas wewnętrznych przekierowań, ciasteczko sesji może być nadal przekazywane do serwera backendowego.
Ocena ryzyka
Może dojść do wycieku ciasteczka sesji do serwera backendowego, co potencjalnie umożliwia przejęcie sesji lub nieautoryzowany dostęp.
Rekomendacja
Należy zaktualizować Apache HTTP Server do wersji nowszej niż 2.4.68, która zawiera poprawkę.
Inne podatności w Apache HTTP Server
Zobacz wszystkie- CVE-2026-63045Wysokie
W module mod_proxy_ftp serwera Apache HTTP Server do wersji 2.4.68 występuje nieprawidłowa walidacja adresu odpowiedzi PASV. W konfiguracji forward proxy niezaufany serwer FTP może poprzez spreparowaną odpowiedź PASV spowodować, że proxy otworzy połączenie danych z dowolnym hostem trzecim.
- CVE-2026-59685Wysokie
W serwerze Apache HTTP Server na systemach Windows, podczas przetwarzania ścieżek z nazwami 8.3, które mogą się rozszerzać, występuje podatność zapisu poza zakresem (out-of-bounds write). Dotyczy wersji od 2.4.0 do 2.4.68.
- CVE-2026-58415Średnie
W module mod_dav_fs serwera Apache HTTP Server przed wersją 2.4.69, wewnętrzne pliki stanu są dostępne dla zewnętrznych podmiotów. Zdalny klient może odczytać martwe właściwości WebDAV zasobów, których nie może modyfikować, wysyłając żądanie GET do katalogu stanu .DAV.
- CVE-2026-56449Wysokie
W module mod_proxy_html serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write) przy przetwarzaniu spreparowanych treści odpowiedzi HTTP.
- CVE-2026-56153Wysokie
W module mod_charset_lite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write).
- CVE-2026-48005Wysokie
W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 brakuje kontroli uwierzytelniania. Nieuwierzytelniony zdalny klient może spowodować odmowę usługi (wymuszone ponowne uwierzytelnienie) poprzez sfałszowane nagłówki Authorization, gdy włączone jest uwierzytelnianie Digest z AuthDigestNcCheck.
- CVE-2026-46729Wysokie
W module mod_heartmonitor Apache HTTP Server występuje podatność dereferencji wskaźnika NULL przez odbiornik unicast. Problem dotyczy Apache HTTP Server w wersjach od 2.4.0 do 2.4.68.
- CVE-2026-42528Średnie
Błąd w obliczaniu pamięci w mod_dav w Apache httpd 2.4.67 i wcześniejszych pozwala atakującemu z uprawnieniami do tworzenia blokad WebDAV na spowodowanie awarii procesów potomnych serwera. Użytkownikom zaleca się aktualizację do wersji 2.4.69, która naprawia ten problem.
- CVE-2026-42356Niskie
Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.
- CVE-2017-9798Wysokie
Apache httpd pozwala zdalnym atakującym na odczytanie tajnych danych z pamięci procesu, jeśli dyrektywa Limit może być ustawiona w pliku .htaccess użytkownika lub jeśli httpd.conf ma określone błędne konfiguracje. Problem ten dotyczy serwera Apache HTTP w wersjach do 2.2.34 oraz 2.4.x do 2.4.27.
Oryginalny opis (angielski, źródło NVD)
Exposure of Sensitive Information to an Unauthorized Actor vulnerability in Apache HTTP Server's mod_session_cookie module. When SessionCookieRemove changes across internal redirects, the session cookie may still be passed to a backend server. This issue affects Apache HTTP Server: from 2.4.0 through 2.4.68.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS