CVE-2026-86589
NieznaneStreszczenie
W Apache Answer do wersji 2.0.2 występuje nieprawidłowa implementacja algorytmu uwierzytelniania. Błąd w integracji logowania User Center może powodować, że nowo utworzona sesja użytkownika zewnętrznego pomija swoją tożsamość zewnętrzną, pozwalając kolejnym żądaniom ominąć kontrole zawieszenia lub usunięcia konta do czasu wygaśnięcia lub unieważnienia sesji.
Ocena ryzyka
Zawieszeni lub usunięci użytkownicy mogą nadal uzyskiwać dostęp do systemu do momentu wygaśnięcia sesji. Może to naruszać polityki kontroli dostępu i bezpieczeństwo kont.
Rekomendacja
Zaktualizuj Apache Answer do wersji 2.0.3. Rozważ unieważnienie aktywnych sesji po aktualizacji oraz weryfikację stanu kont zewnętrznych.
Inne podatności w Apache Answer
Zobacz wszystkie- CVE-2026-79633Nieznane
W Apache Answer do wersji 2.0.2 występuje brak kontroli autoryzacji. Uwierzytelnieni użytkownicy mogli wykonywać działania na niepublicznych treściach, do których nie mieli uprawnień dostępu.
- CVE-2026-79624Nieznane
W Apache Answer do wersji 2.0.2 występuje niewystarczające wygasanie sesji. Nieodpowiednie unieważnianie sesji pozwalało odwołanym użytkownikom nadal uzyskiwać dostęp do znanych prywatnych przesłanych plików przy użyciu nieaktualnego tokenu wizyty.
- CVE-2026-79620Nieznane
W Apache Answer do wersji 2.0.2 występuje ujawnienie poufnych informacji przez zapytania do danych. Nieprawidłowa kontrola autoryzacji w wyszukiwaniu podobnych pytań pozwalała uwierzytelnionym użytkownikom przeglądać metadane niepublicznych pytań.
- CVE-2026-79613Nieznane
W Apache Answer do wersji 2.0.2 nieuwierzytelnieni atakujący mogą uzyskać dostęp do komentarzy powiązanych z treściami niepublicznymi poprzez publiczne profile użytkowników. Luka wynika z niewystarczającej kontroli widoczności komentarzy.
- CVE-2026-76994Nieznane
W Apache Answer do wersji 2.0.2 nieuwierzytelnieni atakujący mogą uzyskać metadane powiązane z ukrytymi pytaniami poprzez publiczne profile odpowiedzi. Luka polega na ujawnieniu informacji wrażliwych nieuprawnionym podmiotom.
- CVE-2026-71563Nieznane
W Apache Answer do wersji 2.0.2 występuje brak autoryzacji w narzędziu MCP do pobierania odpowiedzi. Posiadacze globalnego klucza API mogą uzyskać dostęp do treści odpowiedzi powiązanych z pytaniami ukrytymi, usuniętymi lub oczekującymi na przegląd.
- CVE-2026-68482Nieznane
W Apache Answer do wersji 2.0.2 nieuwierzytelniony lub nieuprawniony użytkownik może pobrać listę zaproszonych użytkowników powiązaną z niepublicznym pytaniem. Przyczyną jest brak kontroli autoryzacji widoczności.
- CVE-2026-67249Nieznane
W Apache Answer do wersji 2.0.2 kod weryfikacyjny wydany dla jednego procesu opartego na e-mailu może zostać zaakceptowany przez inny wrażliwy proces, ponieważ cel kodu nie jest prawidłowo egzekwowany.
- CVE-2026-64945Nieznane
W Apache Answer do wersji 2.0.2 kontroler operacji na pytaniach sprawdza niewłaściwe uprawnienie (unpin zamiast hide) przy operacjach ukrywania/pokazywania. W konfiguracjach ról rozdzielających te uprawnienia użytkownik z tylko question.unpin może ukrywać lub przywracać pytania bez uprawnień question.hide lub question.show.
- CVE-2026-64944Nieznane
W Apache Answer do wersji 2.0.2 importer zapisuje importowane treści pytań jako surowy HTML bez przejścia przez normalną sanityzację Markdown-do-HTML. Atakujący może osadzić złośliwy HTML w importowanym źródle danych, który jest utrwalany i renderowany wszystkim przeglądającym jako stored XSS.
Oryginalny opis (angielski, źródło NVD)
Incorrect implementation of authentication algorithm vulnerability in Apache Answer. This issue affects Apache Answer: through 2.0.2. A flaw in the User Center login integration can cause a newly created external user session to omit its external identity, allowing subsequent requests to bypass central account suspension or deletion checks until the session expires or is revoked. Users are recommended to upgrade to version 2.0.3, which fixes the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS