CVE-2026-82380
WysokieCVSS 8.1Streszczenie
W Apache Roller 6.1.5 występuje podatność Cross-Site Request Forgery (CSRF), która pozwala zdalnemu atakującemu nakłonić zalogowanego użytkownika do wykonania akcji zmieniających stan w jego imieniu. Filtry walidacji CSRF akceptują żądanie, które nie przesyła wymaganego tokenu salt, walidując zamiast tego wartość wygenerowaną przez sam serwer.
Ocena ryzyka
Każdy zalogowany autor lub administrator może zostać nakłoniony do odwiedzenia spreparowanej strony, co prowadzi do nieautoryzowanych zmian w systemie.
Rekomendacja
Zaktualizuj Apache Roller do wersji 6.1.6 lub nowszej, która waliduje wyłącznie przesłany salt i stosuje tę samą kontrolę do formularzy multipart.
Inne podatności w Apache Roller
Zobacz wszystkie- CVE-2026-86507Średnie
Podatność w Apache Roller 6.1.5 polega na niewłaściwej neutralizacji danych wejściowych, co pozwala anonimowemu zdalnemu atakującemu przechowywać spreparowany URL autora komentarza, który może wykonać skrypt w sesji moderatora bloga lub administratora globalnego podczas przeglądania strony zarządzania komentarzami. Dotyczy to witryn, które pozwalają na komentarze na co najmniej jednym blogu i których moderator przegląda nadesłany komentarz; nie jest wymagane żadne niestandardowe ustawienie serwera.
- CVE-2026-91206Średnie
Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 występuje w opcjonalnym uwierzytelniaczu komentarzy LDAP, który zapisuje wartości parametrów żądania do formularza HTML bez odpowiedniego escapowania. Atak wymaga, aby ofiara kliknęła spreparowany link, a witryna musi być skonfigurowana z LdapCommentAuthenticator.
- CVE-2026-91204Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala anonimowemu atakującemu na zapisanie komentarza zawierającego link javascript: URI, który przetrwa formatowanie komentarzy HTML i może wykonać skrypt w przeglądarce odwiedzającego po kliknięciu. Dotyczy to tylko witryn z włączoną obsługą HTML w komentarzach (users.comments.htmlenabled=true) oraz formatowaniem HTMLSubset.
- CVE-2026-82546Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala nieuwierzytelnionemu atakującemu na zapisanie spreparowanego adresu URL autora komentarza przez endpoint Trackback, gdy opublikowany wpis akceptuje komentarze i Trackbacki. Domyślne ustawienia Trackback, weryfikacji i moderacji pozwalają na zatwierdzenie i wyświetlenie wartości jako aktywnego linku; kliknięcie linku przez odwiedzającego wykonuje skrypt w kontekście bloga.
- CVE-2026-82387Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami przesyłania multimediów na przechowywanie aktywnej treści w kontekście Rollera, ponieważ funkcja przesyłania multimediów ufa typowi treści dostarczonemu przez użytkownika i serwuje zapisany plik z tym typem. Ofiara, która otworzy przesłany plik, wykonuje zapisany skrypt. Przesyłanie multimediów jest domyślnie wyłączone; dotyczy to tylko instalacji, które je włączą.
- CVE-2026-82386Wysokie
W Apache Roller 6.1.5 występuje nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML (XXE). Administrator bloga może odczytać pliki dostępne dla procesu Roller oraz dotrzeć do adresów sieci wewnętrznej, importując spreparowany dokument OPML, ponieważ parser importu zakładek nie wyłącza rozwiązywania zewnętrznych encji.
- CVE-2026-82385Średnie
Podatność ujawnienia wrażliwych informacji w Apache Roller 6.1.5 pozwala administratorowi bloga na odczyt plików na ścieżce klas aplikacji, w tym plików konfiguracyjnych Rollera zawierających sekrety, poprzez utworzenie szablonu Velocity używającego dyrektywy include do załadowania zasobu spoza przestrzeni nazw motywu. Roller traktuje administratorów bloga jako niezaufanych i włącza piaskownicę Velocity, ale dyrektywy include i parse nie są przez nią ograniczane.
- CVE-2026-82383Wysokie
W Apache Roller 6.1.5 brakuje uwierzytelniania dla krytycznej funkcji, co pozwala nieuwierzytelnionemu zdalnemu atakującemu trwale zmienić globalną wartość konfiguracji witryny (wybór bloga na stronie głównej). Akcja setup pozostaje anonimowo dostępna po instalacji i zapisuje konfigurację bez sprawdzenia autoryzacji.
- CVE-2026-82382Średnie
Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala zdalnemu atakującemu na wykonanie skryptu w przeglądarce odwiedzającego bloga korzystającego z dołączonego motywu frontpage, poprzez podanie spreparowanego parametru blog-directory, który strona katalogu odzwierciedla bez odpowiedniego escapowania. Dotyczy to tylko blogów używających dołączonego motywu frontpage, a ofiara musi kliknąć spreparowany link.
- CVE-2026-82381Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami autorskimi na blogu na zapisanie spreparowanej treści, która jest później zapisywana w literałach łańcuchowych JavaScript i miejscach znaczników interfejsu autorskiego bez odpowiedniego kodowania, powodując wykonanie zapisanego skryptu w przeglądarce innego autora lub administratora. Nie wymaga żadnej opcjonalnej funkcji ani niestandardowej konfiguracji; dotyczy to blogów z wieloma autorami lub administratorami, którzy nie ufają sobie nawzajem.
Oryginalny opis (angielski, źródło NVD)
Cross-Site Request Forgery (CSRF) in Apache Roller 6.1.5 allows a remote attacker to cause a logged-in user to perform state-changing actions under the victim's authority, because the CSRF validation filters accept a request that does not submit the required salt token, validating instead against a value the server itself generated for the request. No optional feature or non-default configuration is required; any logged-in author or administrator is affected when induced to visit a crafted page. Users are recommended to upgrade to Apache Roller 6.1.6 or later, which validates only the submitted salt and applies the same check to multipart forms.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS