Podatności Apache Kyuubi
4 znanych podatności CVE w Apache Kyuubi, przetłumaczonych i ocenionych.
- CVE-2025-66518Wysokie
Każdy klient mający dostęp do serwera Apache Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allow.list i używać lokalnych plików, które nie są na tej liście. Podatność dotyczy wersji od 1.6.0 do 1.10.2.
- CVE-2026-52680Krytyczne
Apache Kyuubi w wersjach od 1.7.0 do 1.11.1 jest podatny na atak typu path traversal podczas obsługi wieloczęściowego przesyłania plików REST batch. Atakujący może podać sekwencje path traversal w nazwie pliku, co pozwala na zapis treści poza zamierzonym katalogiem.
- CVE-2026-62391Wysokie
Poprawka bezpieczeństwa dla CVE-2025-66518 w Apache Kyuubi jest niekompletna. Każdy klient mający dostęp do serwera Kyuubi przez protokoły frontendowe może ominąć konfigurację serwera kyuubi.session.local.dir.allowlist za pomocą aliasów konfiguracyjnych Spark bez prefiksu. Problem dotyczy wersji od 1.6.0 przed 1.12.0.
- CVE-2026-23904Wysokie
Kyuubi Engine UI proxy akceptuje host i port z ścieżki żądania i przekierowuje żądania HTTP do tego miejsca. Zdalny atakujący z dostępem sieciowym do proxy może wysyłać żądania HTTP do dowolnych osiągalnych hostów, co prowadzi do SSRF lub zachowania otwartego proxy.