CVE-2026-46581

Eclipse Mojarra: path traversal do zdalnych Faceletów w DefaultFaceletFactory

CVSS 7.5v3.1pub. 2026-08-05upd. 2026-08-10

Eclipse Mojarra w wersji 2.3 i nowszych nie filtruje poprawnie zdalnych adresów URL w klasie DefaultFaceletFactory, co pozwala atakującemu na wymuszenie przetworzenia dowolnego zewnętrznego lub lokalnego Faceletu w kontekście serwera. Podatność umożliwia nieautoryzowany odczyt wrażliwych plików, takich jak WEB-INF/web.xml czy /etc/passwd.

▸ Pokaż oryginał (EN)

In Eclipse Mojarra versions 2.3 and following, URL handing in `DefaultFaceletFactory` does not properly sanitize and/or block remote URLs, allowing an attacker to specify a URL to a remote Facelet which will be included and processed as part of the normal request, with the privileges of the target server. This could allow access to restricted files such as `WEB-INF/web.xml` or `/etc/passwd`.

🤖 Analiza AI

Jak działa

Mechanizm obsługi URL w DefaultFaceletFactory nie weryfikuje poprawnie przekazanych adresów — nie blokuje ani nie sanityzuje zdalnych lokalizacji. Atakujący może skonstruować żądanie wskazujące na zdalny lub lokalny Facelet, który zostanie pobrany i przetworzony przez serwer z jego uprawnieniami. W efekcie możliwe jest przeprowadzenie ataku typu path traversal lub Server-Side Request Forgery (SSRF), umożliwiającego odczyt plików spoza przeznaczonych do publikacji katalogów aplikacji webowej.

Skutki

Atakujący bez uwierzytelnienia może uzyskać nieautoryzowany dostęp do wrażliwych plików na serwerze, takich jak konfiguracje aplikacji (WEB-INF/web.xml) czy systemowe pliki z danymi użytkowników (/etc/passwd), co prowadzi do ujawnienia poufnych informacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi przez Eclipse Security (https://gitlab.eclipse.org/security/cve-assignment/-/work_items/160). Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do podatnych instancji oraz monitorowanie ruchu pod kątem podejrzanych żądań zawierających zewnętrzne adresy URL.