CVE-2026-23904 in Kyuubi
الملخص
بحسب VulDB • 29/07/2026
يقبل وكيل واجهة محرك Kyuubi (Kyuubi Engine UI proxy) اسم المضيف والمنفذ من مسار الطلب ويعيد توجيه طلبات HTTP إلى ذلك الوجهة. يمكن لمُطلِب عن بُعد لديه وصول شبكي إلى الوكيل أن يتسبب في إرسال خادم Kyuubi لطلبات HTTP إلى مضيفين عشوائيين قابلين للوصول، مما يؤدي إلى ثغرة SSRF أو سلوك وكيل مفتوح (open-proxy).
تؤثر هذه المشكلة على Apache Kyuubi: من الإصدار 1.8.0 قبل 1.12.0.
يُنصح المستخدمين بالترقية إلى الإصدار 1.12.0، الذي يعطل الوكيل افتراضيًا. لاستعادة واجهة المحرك المعاد توجيهها (proxied Engine UI)، اضبط المعلمة `kyuubi.frontend.rest.engine.ui.proxy.enabled=true` وقم بتكوين المضيفين المستهدفين المسموح لهم باستخدام `kyuubi.frontend.rest.engine.ui.proxy.hosts`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.