- Yama var
- Son 7 gün
- CWE-352
CVE-2026-73099
Apache Juneau REST sunucusunda sorgu parametresiyle CSRF açığı
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, sisteme giriş yapmış bir kullanıcının farkında olmadan istenmeyen işlemler yapmasına neden olabilir. Saldırı kolaydır ve kimlik doğrulama gerektirmediği için risk yüksektir. Kullanılan Apache Juneau sürümünün hemen güncellenmesi önerilir.
ÖzetTürkçe
Apache Juneau REST sunucusunda, varsayılan olarak etkin gelen "content" sorgu parametresi istek gövdesini değiştirebilmektedir. Bu özellik GET dahil tüm HTTP metodlarında çalışır ve siteler arası istek sahteciliğine (CSRF) yol açar. Açık 9.2.0 dahil önceki sürümleri etkilemektedir.
Saldırgan ne yapabilir?
Saldırgan, kurbanın tarayıcısı üzerinden hazırladığı bir istek gövdesini CORS ön kontrolü olmadan hedef uç noktaya gönderebilir. Bu sayede kullanıcının yetkisiyle istenmeyen işlemler gerçekleştirilebilir.
Kaynaktaki açıklama (İngilizce)
Cross-Site Request Forgery (CSRF) vulnerability in Apache Juneau.
The REST server accepts a "content" query parameter that replaces the request body, and this is enabled by default on every HTTP method, including GET. A cross-site link can therefore deliver an attacker-chosen request body to an endpoint without a CORS preflight, defeating protections that rely on the HTTP method or content type instead of an anti-CSRF token.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue. Applications that do not use the content parameter can also set disableContentParam to true.
Ne yapmalı?
- Apache Juneau'yu 9.2.1 veya üzeri bir sürüme yükseltin. Üretici
- content parametresini kullanmıyorsanız disableContentParam ayarını true olarak etkinleştirin. Üretici
- Güncelleme sonrasında uygulamanın çalıştığını ve beklenen istekleri doğru işlediğini test edin. Genel öneri
Ek önlemler
- Durum değiştiren işlemler için anti-CSRF token doğrulaması kullanıldığından emin olun. Genel öneri
- Beklenmeyen sorgu parametreleriyle yapılan istekleri uygulama ve web sunucu günlüklerinden izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Juneau | < 9.2.1 | 9.2.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.