Apache · Apache Kyuubi · CVE-2026-23904
**Nome do Software Vulnerável e Versões Afetadas**
Apache Kyuubi versões 1.8.0 até 1.11.x
**Descrição**
O proxy da Engine UI aceita um host e uma porta a partir do caminho da requisição e encaminha requisições HTTP para esse destino. Um solicitante remoto com acesso de rede ao proxy pode fazer com que o servidor envie requisições HTTP para hosts alcançáveis arbitrários, resultando em Server-Side Request Forgery (SSRF), onde o servidor é enganado para fazer requisições a recursos internos ou externos, ou comportamento de proxy aberto.
**Recomendações**
Atualize para a versão 1.12.0.
Para restaurar a Engine UI via proxy após a atualização, defina `kyuubi.frontend.rest.engine.ui.proxy.enabled` como true e configure os hosts de destino permitidos usando `kyuubi.frontend.rest.engine.ui.proxy.hosts`.