PT-2026-99796

CVE-2026-91206

Publicado

2026-09-28

Atualizado

2026-09-30

Descrição por

CVSS 3.1

6.1

Média

MétricasAV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Roller versão 6.1.5

Description A neutralização inadequada de entrada durante a geração de páginas web permite que um invasor remoto execute cross-site scripting (XSS) refletido por meio do autenticador de comentários LDAP opcional. O problema ocorre porque o LdapCommentAuthenticator escreve valores de parâmetros de requisição em seu formulário HTML sem a devida filtragem. Isso afeta apenas sites configurados para usar o LdapCommentAuthenticator, e exige que uma vítima, cuja sessão já tenha carregado o formulário de autenticação, siga um link malicioso.

Recommendations Atualize para as versões do Apache Roller 6.1.6 ou posteriores. Como medida de mitigação temporária, restrinja o uso do LdapCommentAuthenticator até que a atualização seja aplicada.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Cyberleo

姬珏

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-79: Improper Neutralization of Input During Web Page Generation (\'Cross-site Scripting\')

Identificadores relacionados