CVE-2026-44598
Açıklama
Geçerli giriş kimlik bilgileriyle, Apache Shiro üzerinde Güvenilmeyen Siteye URL Yönlendirmesi ('Open Redirect') ve Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyeti bulunmaktadır. Bu sorun, yalnızca shiro-jakarta-ee entegrasyon modülü kullanıldığında, Apache Shiro'nun 2.0-alpha ile 2.1.0 arası ve 3.0.0-alpha-1 sürümlerini etkilemektedir. Kullanıcıların, çerezi şifreleyerek sorunu gideren 2.1.1 veya 3.0.0-alpha-2 ya da daha yeni bir sürüme yükseltmeleri önerilir. Başarılı girişten sonra, Jakarta EE entegrasyon modülü, giriş sonrası belirli bir web sayfasına yönlendirme yapmak için shiroSavedRequest çerezini kullanır. Bu çerez doğrulanmamaktaydı ve sunucunun kendisinden çerezdeki rastgele bir URL'ye HTTP GET isteği göndermek için sahte olarak oluşturulabilmekteydi.
Nasıl düzeltilir
- apache shiro2.1.1 ya da sonraki bir sürüm
- org.apache.shiro:shiro-jakarta-ee2.2.0, 3.0.0-alpha-2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache shiro | 2.0.0 ≤ v < 2.1.1, 3.0.0 | 2.1.1 |
| org.apache.shiro:shiro-jakarta-eeMaven | 2.0.0-alpha-0 ≤ v < 2.2.0, 3.0.0-alpha-1 ≤ v < 3.0.0-alpha-2 | 2.2.0, 3.0.0-alpha-2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.