Apache Livy: Unauthorized directory access

TRUNG BÌNH 6.3CVE-2025-66249 · GHSA-h84f-4ff9-8hc3 · Công bố 13/03/2026 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2025-66249 là lỗ hổng mức TRUNG BÌNH (CVSS 6.3) ảnh hưởng org.apache.livy:livy-server, livy (apache).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.61%, cao hơn 49.2% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.9.0-incubating, 0.9.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
org.apache.livy:livy-server Maven	`≥ 0.3.0-incubating, < 0.9.0-incubating`	`0.9.0-incubating`
livy apache	`≥ 0.3.0, < 0.9.0`	`0.9.0`

Mô tả

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache Livy.

This issue affects Apache Livy: from 0.3.0 before 0.9.0.

The vulnerability can only be exploited with non-default Apache Livy Server settings. If the configuration value "livy.file.local-dir-whitelist" is set to a non-default value, the directory checking can be bypassed.

Users are recommended to upgrade to version 0.9.0, which fixes the issue.

Mô tả của NVD

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache Livy. This issue affects Apache Livy: from 0.3.0 before 0.9.0. The vulnerability can only be exploited with non-default Apache Livy Server settings. If the configuration value "livy.file.local-dir-whitelist" is set to a non-default value, the directory checking can be bypassed. Users are recommended to upgrade to version 0.9.0, which fixes the issue.