CVE-2026-82384
KrytyczneCVSS 9.8Streszczenie
Apache Roller 6.1.5 zawiera podatność deserializacji niezaufanych danych, ponieważ punkt końcowy XML-RPC akceptuje typy rozszerzeń dostawcy, które są deserializowane podczas przetwarzania żądania, przed uwierzytelnieniem. Servlet jest mapowany bezwarunkowo, więc parsowanie następuje nawet gdy globalna funkcja XML-RPC jest wyłączona; nie jest wymagana żadna niestandardowa konfiguracja. Może to prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Nieuwierzytelniony zdalny atakujący może doprowadzić do wykonania dowolnego kodu na serwerze, co może skutkować pełnym przejęciem systemu. Ryzyko jest krytyczne, ponieważ nie wymaga uwierzytelnienia ani niestandardowej konfiguracji.
Rekomendacja
Zaktualizuj Apache Roller do wersji 6.1.6 lub nowszej, która wyłącza typy rozszerzeń i odrzuca żądania, gdy funkcja XML-RPC jest wyłączona.
Inne podatności w Apache Roller
Zobacz wszystkie- CVE-2026-86507Średnie
Podatność w Apache Roller 6.1.5 polega na niewłaściwej neutralizacji danych wejściowych, co pozwala anonimowemu zdalnemu atakującemu przechowywać spreparowany URL autora komentarza, który może wykonać skrypt w sesji moderatora bloga lub administratora globalnego podczas przeglądania strony zarządzania komentarzami. Dotyczy to witryn, które pozwalają na komentarze na co najmniej jednym blogu i których moderator przegląda nadesłany komentarz; nie jest wymagane żadne niestandardowe ustawienie serwera.
- CVE-2026-91206Średnie
Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 występuje w opcjonalnym uwierzytelniaczu komentarzy LDAP, który zapisuje wartości parametrów żądania do formularza HTML bez odpowiedniego escapowania. Atak wymaga, aby ofiara kliknęła spreparowany link, a witryna musi być skonfigurowana z LdapCommentAuthenticator.
- CVE-2026-91204Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala anonimowemu atakującemu na zapisanie komentarza zawierającego link javascript: URI, który przetrwa formatowanie komentarzy HTML i może wykonać skrypt w przeglądarce odwiedzającego po kliknięciu. Dotyczy to tylko witryn z włączoną obsługą HTML w komentarzach (users.comments.htmlenabled=true) oraz formatowaniem HTMLSubset.
- CVE-2026-82546Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala nieuwierzytelnionemu atakującemu na zapisanie spreparowanego adresu URL autora komentarza przez endpoint Trackback, gdy opublikowany wpis akceptuje komentarze i Trackbacki. Domyślne ustawienia Trackback, weryfikacji i moderacji pozwalają na zatwierdzenie i wyświetlenie wartości jako aktywnego linku; kliknięcie linku przez odwiedzającego wykonuje skrypt w kontekście bloga.
- CVE-2026-82387Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami przesyłania multimediów na przechowywanie aktywnej treści w kontekście Rollera, ponieważ funkcja przesyłania multimediów ufa typowi treści dostarczonemu przez użytkownika i serwuje zapisany plik z tym typem. Ofiara, która otworzy przesłany plik, wykonuje zapisany skrypt. Przesyłanie multimediów jest domyślnie wyłączone; dotyczy to tylko instalacji, które je włączą.
- CVE-2026-82386Wysokie
W Apache Roller 6.1.5 występuje nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML (XXE). Administrator bloga może odczytać pliki dostępne dla procesu Roller oraz dotrzeć do adresów sieci wewnętrznej, importując spreparowany dokument OPML, ponieważ parser importu zakładek nie wyłącza rozwiązywania zewnętrznych encji.
- CVE-2026-82385Średnie
Podatność ujawnienia wrażliwych informacji w Apache Roller 6.1.5 pozwala administratorowi bloga na odczyt plików na ścieżce klas aplikacji, w tym plików konfiguracyjnych Rollera zawierających sekrety, poprzez utworzenie szablonu Velocity używającego dyrektywy include do załadowania zasobu spoza przestrzeni nazw motywu. Roller traktuje administratorów bloga jako niezaufanych i włącza piaskownicę Velocity, ale dyrektywy include i parse nie są przez nią ograniczane.
- CVE-2026-82383Wysokie
W Apache Roller 6.1.5 brakuje uwierzytelniania dla krytycznej funkcji, co pozwala nieuwierzytelnionemu zdalnemu atakującemu trwale zmienić globalną wartość konfiguracji witryny (wybór bloga na stronie głównej). Akcja setup pozostaje anonimowo dostępna po instalacji i zapisuje konfigurację bez sprawdzenia autoryzacji.
- CVE-2026-82382Średnie
Podatność Reflected Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala zdalnemu atakującemu na wykonanie skryptu w przeglądarce odwiedzającego bloga korzystającego z dołączonego motywu frontpage, poprzez podanie spreparowanego parametru blog-directory, który strona katalogu odzwierciedla bez odpowiedniego escapowania. Dotyczy to tylko blogów używających dołączonego motywu frontpage, a ofiara musi kliknąć spreparowany link.
- CVE-2026-82381Średnie
Podatność Stored Cross-site Scripting (XSS) w Apache Roller 6.1.5 pozwala użytkownikowi z prawami autorskimi na blogu na zapisanie spreparowanej treści, która jest później zapisywana w literałach łańcuchowych JavaScript i miejscach znaczników interfejsu autorskiego bez odpowiedniego kodowania, powodując wykonanie zapisanego skryptu w przeglądarce innego autora lub administratora. Nie wymaga żadnej opcjonalnej funkcji ani niestandardowej konfiguracji; dotyczy to blogów z wieloma autorami lub administratorami, którzy nie ufają sobie nawzajem.
Oryginalny opis (angielski, źródło NVD)
Deserialization of Untrusted Data in Apache Roller 6.1.5 allows an unauthenticated remote attacker to cause deserialization of attacker-controlled bytes, because the XML-RPC endpoint accepts vendor extension types that are deserialized during request parsing, before authentication. The servlet is mapped unconditionally, so parsing occurs even when the global XML-RPC feature is set to disabled; no non-default configuration is required for this path. This can lead to remote code execution. Users are recommended to upgrade to Apache Roller 6.1.6 or later, which disables the extension types and rejects requests when the XML-RPC feature is disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS