Tóm tắt nhanh
- CVE-2026-44598 là lỗ hổng mức TRUNG BÌNH (CVSS 5.4) ảnh hưởng org.apache.shiro:shiro-jakarta-ee, shiro (apache).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.37%, cao hơn 30.6% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 2.2.0, 3.0.0-alpha-2, 2.1.1 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| org.apache.shiro:shiro-jakarta-ee Maven | ≥ 2.0.0-alpha-0, < 2.2.0≥ 3.0.0-alpha-1, < 3.0.0-alpha-2
| 2.2.03.0.0-alpha-2
|
| shiro | = 3.0.0≥ 2.0.0, < 2.1.1
| 2.1.1
|
Mô tả
With valid login credentials, URL Redirection to Untrusted Site ('Open Redirect'), Server-Side Request Forgery (SSRF) vulnerability in Apache Shiro.
This issue affects Apache Shiro from 2.0-alpha to 2.1.0, and 3.0.0-alpha-1, only when using shiro-jakarta-ee integration module.
Users are recommended to upgrade to version 2.1.1, or 3.0.0-alpha-2 or later, which fixes the issue by encrypting the cookie.
After successful login, Jakarta EE integration module uses shiroSavedRequest cookie to redirect to a particular web page after login.
This cookie was not validated, and can be forged to send a HTTP GET request from the server itself to an arbitrary URL from the cookie.
Mô tả của NVD
With valid login credentials, URL Redirection to Untrusted Site ('Open Redirect'), Server-Side Request Forgery (SSRF) vulnerability in Apache Shiro.
This issue affects Apache Shiro from 2.0-alpha to 2.1.0, and 3.0.0-alpha-1, only when using shiro-jakarta-ee integration module.
Users are recommended to upgrade to version 2.1.1, or 3.0.0-alpha-2 or later, which fixes the issue by encrypting the cookie.
After successful login, Jakarta EE integration module uses shiroSavedRequest cookie to redirect to a particular web page after login.
This cookie was not validated, and can be forged to send a HTTP GET request from the server itself to an arbitrary URL from the cookie.
Lỗ hổng khác của org.apache.shiro:shiro-jakarta-ee
Xem tất cả →Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí