CVE-2026-82376

Podatność w Apache Roller 6.1.5 polega na niewłaściwej neutralizacji danych wejściowych, co pozwala anonimowemu zdalnemu atakującemu przechowywać spreparowany URL autora komentarza, który może wykonać skrypt w sesji moderatora bloga lub administratora globalnego podczas przeglądania strony zarządzania komentarzami. Dotyczy to witryn, które pozwalają na komentarze na co najmniej jednym blogu i których moderator przegląda nadesłany komentarz; nie jest wymagane żadne niestandardowe ustawienie serwera.

W Apache Roller 6.1.5 brakuje uwierzytelniania dla krytycznej funkcji, co pozwala nieuwierzytelnionemu zdalnemu atakującemu trwale zmienić globalną wartość konfiguracji witryny (wybór bloga na stronie głównej). Akcja setup pozostaje anonimowo dostępna po instalacji i zapisuje konfigurację bez sprawdzenia autoryzacji.

Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala zdalnemu atakującemu na wykonanie skryptu w przeglądarce odwiedzającego bloga korzystającego z dołączonego motywu frontpage, poprzez podanie spreparowanego parametru blog-directory, który strona katalogu odzwierciedla bez odpowiedniego escapowania. Dotyczy to tylko blogów używających dołączonego motywu frontpage, a ofiara musi kliknąć spreparowany link.

Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami autorskimi na blogu na zapisanie spreparowanej treści, która jest później zapisywana w literałach łańcuchowych JavaScript i miejscach znaczników interfejsu autorskiego bez odpowiedniego kodowania, powodując wykonanie zapisanego skryptu w przeglądarce innego autora lub administratora. Nie wymaga żadnej opcjonalnej funkcji ani niestandardowej konfiguracji; dotyczy to blogów z wieloma autorami lub administratorami, którzy nie ufają sobie nawzajem.

W Apache Roller 6.1.5 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala zdalnemu atakującemu nakłonić zalogowanego użytkownika do wykonania akcji zmieniających stan w jego imieniu. Filtry walidacji CSRF akceptują żądanie, które nie przesyła wymaganego tokenu salt, walidując zamiast tego wartość wygenerowaną przez sam serwer.

Podatność Server-Side Request Forgery (SSRF) w Apache Roller 6.1.5 pozwala uwierzytelnionemu użytkownikowi z prawem edycji wpisów na blogu na wywoływanie wychodzących żądań HTTP do celów wybranych przez atakującego poprzez mechanizmy Trackback i enclosure. Kontrolka Trackback jest ukryta w standardowym interfejsie, ale jej akcja pozostaje bezpośrednio dostępna, a domyślna pusta lista dozwolonych Trackbacków zezwala na wszystkie cele. Żądania mogą docierać do adresów loopback i sieci prywatnych.

Szablon strony weblog w Apache Roller w wersjach 5.1 do 5.1.1 pozwala zdalnym uwierzytelnionym użytkownikom z uprawnieniami administratora na wykonanie dowolnego kodu Java za pomocą spreparowanego języka Velocity Text Language (VTL).

Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.

Apache Roller 6.1.5 zawiera podatność nieprawidłowej autoryzacji w punkcie końcowym autoryzacji OAuth 1.0a. Nieuwierzytelniony zdalny atakujący, który pozna ważny token żądania dla skonfigurowanego konsumenta ogólnodostępnego, może powiązać ten token z dowolnym kontem użytkownika, w tym administratorem, wysyłając niepodpisane żądanie autoryzacji. Punkt końcowy ustala tożsamość autoryzującą na podstawie wartości dostarczonej w żądaniu, a nie uwierzytelnionej sesji.

Apache Roller 6.1.5 zawiera podatność braku autoryzacji, która pozwala uwierzytelnionemu użytkownikowi na odczyt, modyfikację lub usunięcie treści bloga należącego do innych blogów poprzez starsze interfejsy API XML-RPC Blogger i MetaWeblog. Handlery uwierzytelniają wywołującego, ale nie weryfikują jego uprawnień do bloga lub wpisu, którego dotyczy operacja. Podatność dotyczy tylko instalacji z włączonym niestandardowym globalnym ustawieniem XML-RPC; flaga API dla poszczególnych blogów jest domyślnie włączona dla blogów utworzonych przez interfejs użytkownika.