CVE-2026-58301
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Gdy Apache Shiro jest używany z modułem integracji Jakarta EE, użytkownik o niskich uprawnieniach może spreparować żądanie HTTP, które powoduje, że serwer nawiązuje połączenie z adresem URL kontrolowanym przez atakującego i przesyła kontrolowane przez atakującego dane. Podatność dotyczy Apache Shiro w wersjach 2.x do 3.0.0 tylko we wdrożeniach korzystających z modułu integracji Jakarta EE. Aktualizacja do wersji 3.0.1 lub nowszej naprawia problem. Alternatywnie można ustawić właściwości systemowe org.apache.shiro.form-resubmit-host i org.apache.shiro.form-resubmit-port, aby ograniczyć host i port, do których Shiro będzie się łączyć podczas ponownego przesyłania formularza.
Ocena ryzyka
Atakujący może wykorzystać serwer do wysyłania danych do zewnętrznych adresów URL, co może prowadzić do wycieku danych lub wykorzystania serwera jako narzędzia do ataków. Wymaga to niskich uprawnień, ale może być wykorzystane zdalnie.
Rekomendacja
Zaleca się aktualizację Apache Shiro do wersji 3.0.1 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy skonfigurować właściwości systemowe ograniczające host i port dla ponownego przesyłania formularzy.
Inne podatności w Apache Shiro
Zobacz wszystkie- CVE-2016-6802Wysokie
Apache Shiro w wersjach przed 1.3.2 pozwala atakującym na ominięcie zamierzonych filtrów serwletów i uzyskanie dostępu poprzez wykorzystanie nie-rootowej ścieżki kontekstu serwletu.
- CVE-2014-0074Wysokie
Apache Shiro w wersjach 1.x przed 1.2.3, przy użyciu serwera LDAP z włączonym niezautoryzowanym powiązaniem, umożliwia zdalnym atakującym ominięcie uwierzytelnienia za pomocą pustej nazwy użytkownika lub hasła.
- CVE-2026-49268Krytyczne
Zdalny atakujący może wstrzykiwać specjalne znaki LDAP do konstrukcji Distinguished Name (DN) w klasie DefaultLdapRealm. Wprowadzone przez użytkownika dane logowania są bezpośrednio łączone z szablonem DN LDAP bez odpowiedniego zabezpieczenia, co umożliwia manipulację strukturą DN używaną do uwierzytelniania LDAP.
- CVE-2023-34478Krytyczne
Apache Shiro w wersjach przed 1.12.0 oraz 2.0.0-alpha-3 może być podatny na atak typu path traversal, co prowadzi do ominięcia uwierzytelnienia, gdy jest używany z API lub innymi frameworkami webowymi, które kierują żądania na podstawie nienormalizowanych żądań.
- CVE-2026-48589Średnie
Moduł Jakarta EE w Apache Shiro (wersje od 2.0-alpha do 2.2.0 oraz 3.0.0-alpha-1) używa nagłówka HTTP Referer do przekierowania po zalogowaniu. Niewystarczająca walidacja tego kontrolowanego przez klienta nagłówka może pozwolić atakującemu na wpływanie na cel przekierowania.
- CVE-2026-44598Średnie
Apache Shiro w wersjach od 2.0-alpha do 2.1.0 oraz 3.0.0-alpha-1, przy użyciu modułu shiro-jakarta-ee, zawiera podatności na Open Redirect i SSRF. Po zalogowaniu ciasteczko shiroSavedRequest nie było walidowane, co pozwala na przekierowanie do dowolnego URL i wykonanie żądania GET z serwera.
- CVE-2026-43828Średnie
Domyślne konfiguracje Apache Shiro wysyłają wrażliwe ciasteczka (JSESSIONID i rememberMe) w sesjach HTTPS bez atrybutu 'Secure'. Dotyczy to wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. Problem został naprawiony w wersjach 2.1.1 i 3.0.0-alpha-2.
- CVE-2026-43827Średnie
Domyślne konfiguracje Apache Shiro mają podatność na fiksację sesji. Dotyczy wersji od 1.0 do 2.1.0 oraz 3.0.0-alpha-1. W podatnych wersjach, gdy sesja już istnieje, nie jest unieważniana po pomyślnym logowaniu, ani nie jest generowana nowa sesja z nowym ID. Zalecana jest aktualizacja do wersji 2.1.1 lub 3.0.0-alpha-2.
- CVE-2026-23903Średnie
Podatność w Apache Shiro pozwala na ominięcie uwierzytelnienia przez zmianę wielkości liter w nazwach plików statycznych. Jeśli pliki statyczne są serwowane z systemu plików niewrażliwego na wielkość liter (np. domyślny macOS), atakujący może uzyskać dostęp do plików, których filtry Shiro nie obejmują. Problem dotyczy wersji przed 2.0.7.
Oryginalny opis (angielski, źródło NVD)
When Apache Shiro is used with the Jakarta EE integration module, a low-privileged user can craft an HTTP request that causes the server to initiate a connection to an attacker-controlled URL and transmit attacker-controlled data. This vulnerability affects Apache Shiro versions 2.x through 3.0.0 only in deployments that use the Jakarta EE integration module. Mitigation: Upgrade to version 3.0.1 or later, which fixes the issue. + Alternatively, you can set the `org.apache.shiro.form-resubmit-host` (String) and `org.apache.shiro.form-resubmit-port` (Integer) system properties to restrict the host and port that Shiro will connect to when resubmitting a form.