CVE-2026-66256
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność na deserializację niezaufanych danych w Apache Shindig. Problem dotyczy wszystkich wersji Apache Shindig. Użytkownicy mający dostęp do API REST Shindig mogą wysyłać specjalnie spreparowane żądania, aby wywołać wykonanie dowolnego kodu na serwerze. Ponieważ projekt jest wycofany, nie planuje się wydania wersji naprawiającej ten problem. Zaleca się znalezienie alternatywy lub ograniczenie dostępu do instancji tylko dla zaufanych użytkowników.
Ocena ryzyka
Osoba atakująca z dostępem do API REST może wykonać dowolny kod na serwerze, co może prowadzić do całkowitego przejęcia systemu. Ze względu na brak wsparcia, ryzyko jest wysokie, jeśli usługa jest nadal używana.
Rekomendacja
Zaleca się zaprzestanie używania Apache Shindig i migrację do wspieranego rozwiązania. Jeśli to niemożliwe, należy ograniczyć dostęp do API REST tylko dla zaufanych użytkowników i zastosować dodatkowe zabezpieczenia sieciowe.
Oryginalny opis (angielski, źródło NVD)
** UNSUPPORTED WHEN ASSIGNED ** Deserialization of Untrusted Data vulnerability in Apache Shindig. This issue affects Apache Shindig: all versions. Users with access to the Shindig REST API can send specially-crafted requests to trigger arbitrary code execution on the server. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.