CVE-2026-73117

Apache Juneau'da HTTP Üstbilgilerinde CRLF Dizilerinin Uygun Şekilde Etkisizleştirilmemesi ('HTTP Response Splitting') zafiyeti bulunmaktadır. Apache Juneau REST sunucusu, yanıt üstbilgi değerlerini ve yönlendirme hedeflerini kontrol etmeden servlet konteynerine aktarmaktaydı. Yanıt üstbilgisini veya yönlendirme hedefini istek verilerinden belirleyen bir uygulama, uzak bir istemcinin üstbilgi satırları eklemesine (servlet konteynerinin kendisinin CR/LF karakterlerini reddetmediği durumlarda) veya kullanıcıların rastgele harici bir siteye yönlendirilmesine izin verebilir. Çerçevenin kendisi, istek verilerinden üstbilgiler veya yönlendirmeler oluşturmaz; risk uygulama koduna bağlıdır. Bu sorun Apache Juneau'nun 9.2.0 sürümüne kadar olan versiyonlarını etkilemektedir. Kullanıcıların sorunu gideren 9.2.1 sürümüne yükseltmeleri önerilir. Üstbilgi değerleri artık varsayılan olarak temizlenmektedir; yönlendirme hedeflerini istek verilerinden oluşturan uygulamalar ayrıca sendRedirect() fonksiyonundan yeni sendSafeRedirect() fonksiyonuna geçiş yapmalıdır.