CVE-2026-73117 in Juneau
Résumé
par VulDB • 05/11/2026
Vulnérabilité « Neutralisation incorrecte des séquences CRLF dans les en-têtes HTTP (division de réponse HTTP) » dans Apache Juneau.
Le serveur REST d'Apache Juneau transmettait sans vérification préalable les valeurs des en-têtes de réponse et les cibles de redirection au conteneur de servlets. Une application définissant un en-tête de réponse ou une cible de redirection à partir de données de requête pourrait permettre à un client distant d'injecter des lignes dans l'en-tête (lorsque le conteneur de servlets ne rejette pas lui-même les caractères CR/LF) ou de rediriger les utilisateurs vers n'importe quel site externe arbitraire. Le framework lui-même ne construit ni en-têtes ni redirections à partir de données de requête ; l'exposition dépend du code applicatif.
Ce problème affecte Apache Juneau : jusqu'à la version 9.2.0 incluse.
Il est recommandé aux utilisateurs de passer à la version 9.2.1, qui corrige le problème. Les valeurs des en-têtes sont désormais assainies par défaut ; les applications construisant des cibles de redirection à partir de données de requête doivent également remplacer l'appel `sendRedirect()` par le nouveau `sendSafeRedirect()`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.