CVE-2026-22022

Solr'un "Rule Based Authorization Plugin" özelliğine güvenen Apache Solr 5.3.0 ile 9.10.0 arasındaki dağıtımlar, bu bileşenlerdeki yetersiz girdi doğrulaması nedeniyle belirli Solr API'lerine yetkisiz erişime izin verme konusunda savunmasızdır. Yalnızca aşağıdaki kriterlerin tamamını karşılayan dağıtımlar bu güvenlik açığından etkilenmektedir: * Solr'un "RuleBasedAuthorizationPlugin" özelliğinin kullanımı * Birden fazla "roles" belirten bir RuleBasedAuthorizationPlugin yapılandırması (bkz. security.json) * Aşağıdaki önceden tanımlanmış izin kurallarından bir veya daha fazlasını kullanan bir RuleBasedAuthorizationPlugin izin listesi (bkz. security.json): "config-read", "config-edit", "schema-read", "metrics-read" veya "security-read". * "all" önceden tanımlanmış iznini tanımlamayan bir RuleBasedAuthorizationPlugin izin listesi * İstemcilerin Solr'a filtrelenmemiş ağ istekleri yapmasına izin veren bir ağ kurulumu (yani kullanıcı tarafından gönderilen HTTP/HTTPS isteklerinin herhangi bir ara proxy veya ağ geçidi tarafından değiştirilmeden veya kısıtlanmadan olduğu gibi Solr'a ulaşması) Kullanıcılar, RuleBasedAuthorizationPlugin yapılandırmalarının "all" önceden tanımlanmış iznini belirttiğinden ve bu izni bir "admin" veya diğer ayrıcalıklı rollerle ilişkilendirdiğinden emin olarak bu güvenlik açığını hafifletebilirler. Kullanıcılar ayrıca yakın zamanda yayınlanan Solr 9.10.1 gibi etkilenen aralığın dışındaki bir Solr sürümüne yükseltme yapabilirler.