10.0 Critique

CVE-2026-121489 Apache Juneau: Path traversal in DirectoryResource allows reading files outside the configured root directory

Description

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache Juneau. The microservice DirectoryResource does not keep request paths inside its configured root directory. When an application enables the resource's view, upload or delete settings (all off by default), a client can read, write or delete files outside the root, anywhere the server process has access. This issue affects Apache Juneau: through 9.2.0. Users are recommended to upgrade to version 9.2.1, which fixes the issue.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Aucun
Privilèges requis: Aucun
Interaction: Aucune
Confidentialité: Élevé
Intégrité: Élevé
Disponibilité: Élevé
Confidentialité des autres systèmes: Élevé
Intégrité des autres systèmes: Élevé
Disponibilité des autres systèmes: Élevé

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Apache Juneau 9.2	premières → < 9.2.1	9.2.1

Références

lists.apache.org lists.apache.org

Chronologie

Publiée 5 novembre 2026
Dernière modification 5 novembre 2026

Les 9 CVE de Apache Juneau →

CVE-2026-96677 Apache Juneau: Cross-site scripting via unescaped request variables in HTML-doc chrome 10.0 Critique CVE-2026-73117 Apache Juneau: Response header CRLF injection and open redirect when applications set headers or redirect targets from request data 10.0 Critique CVE-2026-73116 Apache Juneau: REST client forwards credentials to a different origin when following HTTP redirects 10.0 Critique CVE-2026-73101 Apache Juneau: Internal exception class and message disclosed via error response header and body regardless of secure defaults 10.0 Critique

Suivre cette CVE