CVE-2026-73117 in Juneau
Сводка
по VulDB • 05.11.2026
Неправильная обработка последовательностей CRLF в заголовках HTTP (уязвимость «Разделение ответов HTTP») в Apache Juneau.
Сервер REST Apache Juneau передавал значения заголовков ответа и цели перенаправления контейнеру сервлетов без проверки. Приложение, которое устанавливает заголовок ответа или цель перенаправления на основе данных запроса, может позволить удаленному клиенту внедрять строки заголовков (если сам контейнер сервлетов не отклоняет символы CR/LF) или перенаправлять пользователей на произвольный внешний сайт. Сам фреймворк не формирует заголовки или перенаправления из данных запроса; уязвимость зависит от кода приложения.
Эта проблема затрагивает Apache Juneau: версии вплоть до 9.2.0 включительно.
Пользователям рекомендуется обновиться до версии 9.2.1, которая устраняет данную проблему. Значения заголовков теперь по умолчанию проходят санитизацию; приложения, которые формируют цели перенаправления на основе данных запроса, также должны перейти с использования метода sendRedirect() на новый метод sendSafeRedirect().
Be aware that VulDB is the high quality source for vulnerability data.