CVE-2026-58415

W module mod_proxy_ftp serwera Apache HTTP Server do wersji 2.4.68 występuje nieprawidłowa walidacja adresu odpowiedzi PASV. W konfiguracji forward proxy niezaufany serwer FTP może poprzez spreparowaną odpowiedź PASV spowodować, że proxy otworzy połączenie danych z dowolnym hostem trzecim.

W serwerze Apache HTTP Server na systemach Windows, podczas przetwarzania ścieżek z nazwami 8.3, które mogą się rozszerzać, występuje podatność zapisu poza zakresem (out-of-bounds write). Dotyczy wersji od 2.4.0 do 2.4.68.

W module mod_proxy_html serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write) przy przetwarzaniu spreparowanych treści odpowiedzi HTTP.

W module mod_charset_lite serwera Apache HTTP Server od wersji 2.4.0 do 2.4.68 występuje podatność zapisu poza zakresem (out-of-bounds write).

W module mod_auth_digest serwera Apache HTTP Server przed wersją 2.4.69 brakuje kontroli uwierzytelniania. Nieuwierzytelniony zdalny klient może spowodować odmowę usługi (wymuszone ponowne uwierzytelnienie) poprzez sfałszowane nagłówki Authorization, gdy włączone jest uwierzytelnianie Digest z AuthDigestNcCheck.

W module mod_session_cookie Apache HTTP Server występuje podatność polegająca na ujawnieniu poufnych informacji nieuprawnionemu podmiotowi. Gdy SessionCookieRemove zmienia się podczas wewnętrznych przekierowań, ciasteczko sesji może być nadal przekazywane do serwera backendowego.

W module mod_heartmonitor Apache HTTP Server występuje podatność dereferencji wskaźnika NULL przez odbiornik unicast. Problem dotyczy Apache HTTP Server w wersjach od 2.4.0 do 2.4.68.

Błąd w obliczaniu pamięci w mod_dav w Apache httpd 2.4.67 i wcześniejszych pozwala atakującemu z uprawnieniami do tworzenia blokad WebDAV na spowodowanie awarii procesów potomnych serwera. Użytkownikom zaleca się aktualizację do wersji 2.4.69, która naprawia ten problem.

Podatność polegająca na wdrożeniu niewłaściwego handlera w Apache HTTP Server pozwala, aby cel niektórych wewnętrznych przekierowań z programów CGI był również traktowany jako CGI i wykonywany. Cel musi już znajdować się w katalogu z włączonym CGI i nie mieć żadnego innego rozszerzenia rozumianego przez mod_mime. Problem dotyczy Apache HTTP Server w wersjach od 2.4.60 do 2.4.68.

Apache httpd pozwala zdalnym atakującym na odczytanie tajnych danych z pamięci procesu, jeśli dyrektywa Limit może być ustawiona w pliku .htaccess użytkownika lub jeśli httpd.conf ma określone błędne konfiguracje. Problem ten dotyczy serwera Apache HTTP w wersjach do 2.2.34 oraz 2.4.x do 2.4.27.