CVE-2026-41041

URL path injection w Apache Gravitino poprzez niekodowane identyfikatory użytkownika

CVSS 9.1v3.1pub. 2026-07-13

Podatność typu URL path injection w Apache Gravitino pozwala nieuwierzytelnionemu atakującemu na wstrzyknięcie dowolnych segmentów ścieżki URL poprzez niekodowane identyfikatory dostarczane przez użytkownika. Wysoki wynik CVSS 9.1 oraz brak wymagań dotyczących uwierzytelnienia czynią tę podatność szczególnie niebezpieczną.

▸ Pokaż oryginał (EN)

URL path injection via unencoded user-supplied identifiers vulnerability in Apache Gravitino. This issue affects Apache Gravitino: from 1.0.0 before 1.2.1. Users are recommended to upgrade to version 1.2.1, which fixes the issue.

🤖 Analiza AI

Jak działa

Aplikacja Apache Gravitino nie koduje prawidłowo identyfikatorów dostarczanych przez użytkownika przed włączeniem ich do ścieżek URL (CWE-177 — nieprawidłowa obsługa kodowania znaków). Atakujący może dostarczyć specjalnie spreparowany identyfikator zawierający znaki specjalne (np. ukośniki, sekwencje path traversal), które nie zostają zneutralizowane i trafiają bezpośrednio do konstruowanej ścieżki URL. Pozwala to na manipulację trasowaniem żądań HTTP po stronie serwera lub klienta.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów oraz modyfikować dane (wysoki wpływ na poufność i integralność). Wektor sieciowy bez wymagań uwierzytelnienia oznacza możliwość przeprowadzenia ataku przez dowolnego użytkownika sieci.

Mitygacja

Należy zaktualizować Apache Gravitino do wersji 1.2.1 lub nowszej, która zawiera poprawkę eliminującą podatność. Szczegóły dostępne są w oficjalnym wątku na liście Apache pod adresem wskazanym w referencjach.