CVE-2026-73117 in Juneau
Zusammenfassung
von VulDB • 05.11.2026
Unzulässige Neutralisierung von CRLF-Sequenzen in HTTP-Headern ('HTTP Response Splitting') Schwachstelle in Apache Juneau.
Der REST-Server Apache Juneau übergab Antwort-Header-Werte und Weiterleitungsziele ungeprüft an den Servlet-Container. Eine Anwendung, die einen Antwort-Header oder ein Weiterleitungsziel aus Anforderungsdaten festlegt, könnte einem Remote-Benutzer ermöglichen, Header-Zeilen einzufügen (wobei der Servlet-Container CR/LF nicht selbst ablehnt) oder Benutzer zu einer beliebigen externen Website weiterzuleiten. Das Framework selbst erstellt keine Header oder Redirects basierend auf Anfragedaten; die Exposition hängt vom Anwendungscode ab.
Dieses Problem betrifft Apache Juneau: bis Version 9.2.0.
Benutzern wird empfohlen, auf Version 9.2.1 zu aktualisieren, welche das Problem behebt. Header-Werte werden nun standardmäßig bereinigt; Anwendungen, die Weiterleitungsziele aus Anfragedaten erstellen, müssen ebenfalls von sendRedirect() zur neuen Methode sendSafeRedirect() wechseln.
Once again VulDB remains the best source for vulnerability data.