CVE-2026-115721
Apache · Apache
פורסם:
תקציר מנהלים
חולשת CVE-2026-115721 ב-Apache Vysper, ספריית שרת XMPP, מאפשרת הקצאת זיכרון בלתי מוגבלת בעת פענוח XML בכל הגרסאות ועלולה לגרום למיצוי זיכרון ולהשבתת שירותים עסקיים התלויים בה; חומרתה CVSS 7.5 ולא ידוע על ניצול בפועל. הפרויקט אינו נתמך ולא צפוי תיקון, ולכן מומלץ לאתר שימוש בו ולתעדף מעבר לחלופה נתמכת, ובינתיים לצמצם חשיפה ולהחיל מגבלות משאבים לצמצום ההשפעה.
תיאור טכני (מקור)
**UNSUPPORTED WHEN ASSIGNED** Unbounded allocation in XML parsing in Apache Vysper; all versions, may lead to an out of memory condition. This issue affects all versions of Apache Vysper. Apache Vysper is an XMPP (Jabber) server library. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative.
מקורות והנחיות
חולשות נוספות של Apache
Apache · Apache
CVE-2026-115748 היא חולשת Authorization bypass בכל גרסאות Apache Vysper, הנובעת מבדיקת אימות חסרה במימוש XEP-0077 ומאפשרת למשתמש מאומת להשתלט על חשבונות אחרים, תוך סיכון לסודיות המידע ולשלמותו; לא ידוע על ניצול בפועל. מאחר שהפרויקט הוצא משימוש ולא צפוי תיקון, מומלץ לתעדף מעבר לחלופה נתמכת ולצמצם בינתיים את החשיפה לשירות.
Apache · Apache
חולשת XXE (CVE-2026-90885, CVSS 7.5) ברכיב camel-saxon של Apache Camel מאפשרת לתוקף חיצוני, כאשר XML לא מהימן מועבר ל-XQuery כ-Source המחייב פענוח, לקרוא קבצים בהרשאות התהליך ולבצע SSRF, תוך סיכון לדליפת מידע ולגישה למשאבים פנימיים; לא ידוע על ניצול בפועל. מומלץ לשדרג ל-4.23.0 או לגרסאות המתוקנות 4.22.2 ו-4.18.5 במסלולים המתאימים, ולעבור מגרסאות EOL למסלול נתמך; עד לשדרוג יש למנוע עיבוד XQuery של Source ממקור לא מהימן או להגדיר Saxon Configuration החוסמת DOCTYPE, external entities וטעינת external DTD.
Apache · Apache
CVE-2026-115188 ב-Mautic 7 היא חולשת Unrestricted File Upload בחומרה קריטית (CVSS 9.9), המאפשרת למשתמש מאומת בעל הרשאת ייבוא קמפיינים, ללא הרשאות מנהל, להעלות קבצים שרירותיים ובתצורות Apache מסוימות להריץ קוד מרחוק, תוך סיכון לחשיפת סודות המערכת ונתוני אנשי קשר. לא ידוע על ניצול בפועל; מומלץ להתקין תיקון ספק כשיהיה זמין, ובינתיים להגביל את הרשאות ייבוא הקמפיינים או להשבית את היכולת, ולמנוע הרצת סקריפטים וטעינת הגדרות מקומיות בספריית המדיה.
Apache · Apache
חולשה קריטית ב־plugin הניסיוני tsmemcache של Apache Traffic Server מאפשרת לתוקף ברשת, ללא הזדהות, לקרוא, לשנות ולמחוק את ה־proxy cache המשותף, תוך סיכון לדליפת מידע, שיבוש תוכן ופגיעה בזמינות השירות; לא ידוע על ניצול בפועל. מומלץ לבדוק את השימוש ב־plugin ולשדרג בדחיפות לגרסה 9.2.16, 10.1.5 או 10.2.1, ועד להשלמת השדרוג להשביתו או להגביל את הגישה הרשתית אליו.