CVE-2026-66756
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Apache Tika od 4.0.0-alpha-1 do 4.0.0-beta-1 (przed wydaniem) zawiera podatność na niewłaściwą ochronę alternatywnej ścieżki. Atakujący może wykorzystać tę lukę do ominięcia zabezpieczeń.
Ocena ryzyka
Podatność może umożliwić atakującemu dostęp do nieautoryzowanych zasobów lub wykonanie nieoczekiwanych operacji na serwerze Tika.
Rekomendacja
Zaktualizuj Apache Tika do wersji 4.0.0-beta-1 lub nowszej.
Inne podatności w Apache Tika
Zobacz wszystkie- CVE-2016-4434Wysokie
Apache Tika w wersjach przed 1.13 nieprawidłowo inicjalizuje parser XML lub wybiera handlerów, co może umożliwić zdalnym atakującym przeprowadzenie ataków typu XML External Entity (XXE) za pomocą wektorów związanych z arkuszami kalkulacyjnymi w plikach OOXML oraz metadanymi XMP w plikach PDF i innych formatach.
- CVE-2016-6809Krytyczne
Apache Tika przed wersją 1.14 umożliwia wykonanie kodu Java dla zserializowanych obiektów osadzonych w plikach MATLAB. Problem występuje, ponieważ Tika wywołuje JMatIO do natywnej deserializacji.
- CVE-2026-66755Wysokie
Apache Tika od wersji 1.8 do 3.3.1 oraz 4.0.0-alpha-1 zawiera podatność na względne przejście ścieżki w parserze ISA-Tab. Atakujący może umieścić pliki w katalogu, a następnie poprzez wartość "Study Assay File Name" w pliku śledztwa odczytać dowolne pliki dostępne dla procesu Tika.
Oryginalny opis (angielski, źródło NVD)
Improper Protection of Alternate Path vulnerability in Apache Tika. This issue affects Apache Tika: from 4.0.0-alpha-1 before 4.0.0-beta-1. Users are recommended to upgrade to version 4.0.0-beta-1, which fixes the issue.