CVE-2026-48589
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Moduł Jakarta EE w Apache Shiro (wersje od 2.0-alpha do 2.2.0 oraz 3.0.0-alpha-1) używa nagłówka HTTP Referer do przekierowania po zalogowaniu. Niewystarczająca walidacja tego kontrolowanego przez klienta nagłówka może pozwolić atakującemu na wpływanie na cel przekierowania.
Ocena ryzyka
Ryzyko przekierowania użytkownika po zalogowaniu na złośliwą stronę (open redirect), co może prowadzić do kradzieży danych lub phishingu.
Rekomendacja
Zaktualizuj Apache Shiro do wersji 2.2.1 lub nowszej (lub 3.0.0-alpha-2). Jeśli aktualizacja nie jest możliwa, wyłącz moduł shiro-jakarta-ee lub zastosuj własną walidację nagłówka Referer.
Inne podatności w Apache Shiro
Zobacz wszystkie- CVE-2016-6802Wysokie
Apache Shiro w wersjach przed 1.3.2 pozwala atakującym na ominięcie zamierzonych filtrów serwletów i uzyskanie dostępu poprzez wykorzystanie nie-rootowej ścieżki kontekstu serwletu.
- CVE-2014-0074Wysokie
Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.
- CVE-2026-49268Krytyczne
Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.
- CVE-2023-34478Krytyczne
Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.
- CVE-2026-44598Średnie
Apache Shiro w wersjach od 2.0-alpha do 2.1.0 oraz 3.0.0-alpha-1, przy użyciu modułu shiro-jakarta-ee, zawiera podatności na Open Redirect i SSRF. Po zalogowaniu ciasteczko shiroSavedRequest nie było walidowane, co pozwala na przekierowanie do dowolnego URL i wykonanie żądania GET z serwera.
- CVE-2026-43828Średnie
Domyślne konfiguracje Apache Shiro wysyłają wrażliwe ciasteczka (JSESSIONID i rememberMe) w sesjach HTTPS bez atrybutu 'Secure'. Dotyczy to wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. Problem został naprawiony w wersjach 2.1.1 i 3.0.0-alpha-2.
- CVE-2026-43827Średnie
Domyślne konfiguracje Apache Shiro mają podatność na fiksację sesji. Dotyczy wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. W podatnych wersjach, gdy sesja już istnieje, nie jest unieważniana po pomyślnym logowaniu, ani nie jest generowana nowa sesja z nowym ID. Zalecana jest aktualizacja do wersji 2.1.1 lub 3.0.0-alpha-2.
- CVE-2026-23903Średnie
Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.
Oryginalny opis (angielski, źródło NVD)
Apache Shiro’s Jakarta EE module used the HTTP Referer header in certain cases to issue redirect after a user login. In affected versions, insufficient validation of this client-controlled value could allow an attacker to influence the redirect target in applications using the Jakarta EE module. This issue affects Apache Shiro from 2.0-alpha to 2.2.0, and 3.0.0-alpha-1, only when using shiro-jakarta-ee integration module.