CVE-2026-92414
KrytyczneCVSS 9.3Streszczenie
Podatność typu Session Fixation / Session Reuse w Apache Jackrabbit. Serwer WebDAV dołącza buforowaną, uwierzytelnioną sesję do dowolnego dopasowania tokena Lock-Token/TransactionId/SubscriptionId/If-header bez weryfikacji poświadczeń. Dotyczy wersji od 2.23.0 do 2.23.5, od 2.22.0 do 2.22.4 oraz od 2.20.0 do 2.20.17.
Ocena ryzyka
Atakujący może przejąć sesję innego użytkownika, co może prowadzić do nieautoryzowanego dostępu do danych i operacji w repozytorium Jackrabbit. Może to naruszyć poufność i integralność przechowywanych treści.
Rekomendacja
Zaleca się natychmiastową aktualizację do wersji 2.23.6, 2.22.5 lub 2.20.18, które naprawiają tę podatność. Należy również rozważyć ograniczenie dostępu do serwera WebDAV.
Inne podatności w Apache Jackrabbit
Zobacz wszystkie- CVE-2026-92415Średnie
Podatność typu "Użycie zewnętrznie kontrolowanego wejścia do wyboru klas lub kodu" w kliencie WebDAV/Davex Apache Jackrabbit. Złośliwy serwer WebDAV/DavEx lub atakujący mogący przechwycić połączenie może spowodować, że klient utworzy dowolne klasy z jego classpath, co może prowadzić do dowolnego tworzenia lub obcinania plików. Dotyczy to tylko aplikacji używających jackrabbit-spi2dav (bezpośrednio lub przez jackrabbit-jcr2dav) do połączenia ze zdalnym repozytorium. Serwery Jackrabbit nie są dotknięte. Kategoria: niebezpieczna refleksja na danych sieciowych (WYSOKA).
- CVE-2016-6801Wysokie
W podatności CVE-2016-6801 występuje problem z weryfikacją typu zawartości w Jackrabbit-Webdav, co umożliwia atakującym zdalne przejęcie uwierzytelnienia ofiar podczas tworzenia zasobów za pomocą żądania HTTP POST z brakującym lub spreparowanym nagłówkiem Content-Type.
Oryginalny opis (angielski, źródło NVD)
: Session Fixation / Session Reuse across Users vulnerability in Apache Jackrabbit. Jackrabbit WebDAV server attaches a cached authenticated session on any Lock-Token/TransactionId/SubscriptionId/If-header field token match with no credential check. This issue affects Apache Jackrabbit: from 2.23.0 through 2.23.5, from 2.22.0 through 2.22.4, from 2.20.0 through 2.20.17. Users are recommended to upgrade to versions 2.23.6, 2.22.5, or 2.20.18 which fix the issue.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS