CVE-2026-73099 Apache Juneau: Cross-site request forgery via default-enabled content query-parameter body override
Description
Cross-Site Request Forgery (CSRF) vulnerability in Apache Juneau. The REST server accepts a "content" query parameter that replaces the request body, and this is enabled by default on every HTTP method, including GET. A cross-site link can therefore deliver an attacker-chosen request body to an endpoint without a CORS preflight, defeating protections that rely on the HTTP method or content type instead of an anti-CSRF token. This issue affects Apache Juneau: through 9.2.0. Users are recommended to upgrade to version 9.2.1, which fixes the issue. Applications that do not use the content parameter can also set disableContentParam to true.
Détail CVSS 4.0
Vecteur CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:HExploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.
- Vecteur d’attaque
- Réseau
- Complexité
- Faible
- Prérequis d’attaque
- Aucun
- Privilèges requis
- Aucun
- Interaction
- Aucune
- Confidentialité
- Élevé
- Intégrité
- Élevé
- Disponibilité
- Élevé
- Confidentialité des autres systèmes
- Élevé
- Intégrité des autres systèmes
- Élevé
- Disponibilité des autres systèmes
- Élevé
Produits et versions touchés
| Produit | Versions touchées | Corrigé en |
|---|---|---|
| Apache Juneau 9.2 | premières → < 9.2.1 | 9.2.1 |
Références
- lists.apache.org lists.apache.org
Chronologie
- Publiée
- Dernière modification