- Yama var
- Son 7 gün
- CWE-79
CVE-2026-96677
Apache Juneau HTML belge şablonunda istek değişkenleri nedeniyle siteler arası betik çalıştırma (XSS)
- Yayımlandı
- Güncellendi
- 5 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, web uygulamasını kullanan kişilerin tarayıcısında kötü amaçlı kod çalıştırılmasına izin verebilir ve bu da hesap ele geçirme riskini doğurur. Yalnızca özel sayfa şablonu kullanan sistemler etkilenir, ancak etkilenen uygulamalar için güncelleme acil öncelik taşır.
ÖzetTürkçe
Apache Juneau'nun HTML belge serileştirmesinde, sayfa üst bilgisi, gezinme, kenar ve alt bilgi gibi alanlardaki değişken yerleştirmeler HTML olarak kodlanmıyor. Sayfa şablonuna istek başlıkları, form verileri veya yol değerleri gibi istekten gelen değişkenleri ekleyen uygulamalar etkilenmektedir. Varsayılan şablon istek değişkenlerini kullanmadığı için yalnızca bu özelleştirmeyi yapan kurulumlar risk altındadır. Sorun 9.2.0 dahil önceki sürümlerde bulunmaktadır.
Saldırgan ne yapabilir?
Saldırgan, kurbanın tarayıcısında kötü amaçlı betik çalıştırabilir; bu da oturum bilgilerinin çalınmasına veya kullanıcı adına işlem yapılmasına yol açabilir.
Kaynaktaki açıklama (İngilizce)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Apache Juneau.
HTML document serialization does not HTML-encode variable substitutions in the page chrome (header, nav, aside, footer and similar fields). Applications whose chrome includes request-derived variables, such as request headers, form data or path values, reflect those values unencoded, allowing cross-site scripting. The default chrome does not use request variables, so only applications that add them are affected.
This issue affects Apache Juneau: through 9.2.0.
Users are recommended to upgrade to version 9.2.1, which fixes the issue.
Ne yapmalı?
- Apache Juneau'yu 9.2.1 veya daha yeni bir sürüme yükseltin. Üretici
- Sayfa şablonunda istekten gelen değişkenlerin kullanılıp kullanılmadığını kontrol edin; kullanılıyorsa bu değişkenleri güncelleme öncesinde HTML olarak kodlayın veya kaldırın. Genel öneri
Ek önlemler
- Özel sayfa şablonlarında istek verilerinin kullanımını gözden geçirin ve yalnızca gerekli olanları bırakın. Genel öneri
- Uygulama günlüklerinde şüpheli betik içeren istek parametrelerini izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache Juneau | < 9.2.1 | 9.2.1 |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.