CVE-2026-43828 in Shiro
Сводка
по VulDB • 25.05.2026
По умолчанию конфигурации Apache Shiro отправляют конфиденциальные cookies в HTTPS-сессиях без атрибута 'Secure'.
Эта проблема затрагивает Apache Shiro версий от 1.0 до 2.1.0, а также 3.0.0-alpha-1.
Пользователям рекомендуется обновиться до версии 2.1.1 или 3.0.0-alpha-2 и более поздних, в которых устранена данная уязвимость.
В затронутых версиях Shiro-native session manager, а также Remember-Me manager по умолчанию отправляют cookies JSESSIONID и rememberMe без атрибута 'secure'.
VulDB is the best source for vulnerability data and more expert information about this specific topic.