CVE-2026-82384
Apache Roller: إزالة تسلسل غير مُصادَق عليه في نقطة نهاية XML-RPC
- تم النشر
- 28/09/2026
- محدث
- 29/09/2026
- تخصيص CNA
- apache
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 62.8%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إزالة تسلسل البيانات غير الموثوقة في Apache Roller 6.1.5 يسمح لمهاجم بعيد غير مصادق عليه بالتسبب في إزالة تسلسل بايتات يتحكم بها المهاجم، لأن نقطة نهاية XML-RPC تقبل أنواع امتدادات المورد التي تُزال تسلسلها أثناء تحليل الطلب، قبل المصادقة. يتم تعيين الـ servlet دون شروط، لذا يحدث التحليل حتى عندما تكون ميزة XML-RPC العامة معطّلة؛ لا حاجة إلى أي إعداد غير افتراضي لهذا المسار. قد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد. يُنصح المستخدمون بالترقية إلى Apache Roller 6.1.6 أو أحدث، والذي يعطّل أنواع الامتدادات ويرفض الطلبات عندما تكون ميزة XML-RPC معطّلة.
المصادر
أداة إثبات مفهوم بلغة Python للثغرة CVE-2026-82384: تكشف وتستغل إزالة تسلسل Java غير المصادق عليها عبر XML-RPC في Apache Roller 6.1.5 باستخدام حمولات ysoserial، مع إمكانية الفحص الجماعي.
مختبر Docker وإثبات مفهوم (PoC) للثغرة CVE-2026-82384، وهي ثغرة RCE عبر إلغاء تسلسل Java دون مصادقة في Apache Roller 6.1.5، مع إرشادات الكشف والتخفيف.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.