UpdatedSep 3, 2026
security-research — Updated!
الثغرات التي أبلغت عنها إلى مؤسسة Apache Software Foundation: 46 ثغرة CVE عبر 15 مشروعًا
البحث الأمني
الثغرات التي أبلغت عنها إلى مؤسسة Apache للبرمجيات، والمُفصح عنها عبر عملية الأمن الخاصة بـ ASF. 46 ثغرة CVE عبر 15 مشروعًا، من 2023 إلى 2026.
حيثما وُجد مُعيد إنتاج عام، تتم الإشارة إليه برابط. كل واحد منها مشروع أدنى ومكتفٍ ذاتيًا يُبرهن على المشكلة ويحدد الإصدار الذي أصلحها.
عبر 25 ضعفًا (CWE) متمايزًا، تهيمن فئتان: إلغاء تسلسل البيانات غير الموثوقة (7) وتزوير الطلبات من جانب الخادم (7).
عبر منظومة Apache: 16 ثغرة CVE، 14 مشروعًا
| CVE | المكوّن | الفئة | تم الإصلاح في | PoC |
|---|---|---|---|---|
| CVE-2023-41313 | Doris | CWE-208 تفاوت توقيتي قابل للملاحظة | 1.2.8 | - |
| CVE-2023-41834 | Flink Stateful Functions | CWE-74 عدم تحييد مناسب للعناصر الخاصة في المخرجات المستخدمة من قِبل مكوّن لاحق | 3.3.0 | - |
| CVE-2023-43123 | Storm | CWE-200 كشف المعلومات الحساسة لجهة غير مصرّح لها | 2.6.0 | - |
| CVE-2024-23454 | Hadoop | CWE-378 إنشاء ملف مؤقت بأذونات غير آمنة | 3.4.0 | - |
| CVE-2024-23953 | Hive | CWE-208 تفاوت توقيتي قابل للملاحظة | 4.0.0 | - |
| CVE-2024-29869 | Hive | CWE-732 تعيين أذونات غير صحيح لمورد حرج | 4.0.1 | - |
| CVE-2026-28672 | Ranger | CWE-77 عدم تحييد مناسب للعناصر الخاصة المستخدمة في أمر | 2.9.0 | مُعيد إنتاج |
| CVE-2026-34476 | SkyWalking MCP | CWE-918 تزوير الطلبات من جانب الخادم | غير منشور | - |
| CVE-2026-40005 | IoTDB | CWE-22 تقييد غير صحيح لمسار إلى دليل مقيّد | 2.0.10 | - |
| CVE-2026-40008 | IoTDB | CWE-470 استخدام مدخلات خاضعة لتحكم خارجي لاختيار فئات أو شيفرة | 2.0.10 | - |
| CVE-2026-40564 | Flink Kubernetes Operator | CWE-918 تزوير الطلبات من جانب الخادم | 1.15.0 | مُعيد إنتاج |
| CVE-2026-41041 | Gravitino | CWE-177 معالجة غير صحيحة لترميز URL | 1.2.1 | - |
| CVE-2026-44616 | Zeppelin | CWE-90 عدم تحييد مناسب للعناصر الخاصة المستخدمة في استعلام LDAP | 0.12.1 | - |
| CVE-2026-49361 | Fluss (incubating) | CWE-400 استهلاك غير خاضع للتحكم للموارد | غير منشور | - |
| CVE-2026-63039 | InLong | CWE-89 عدم تحييد مناسب للعناصر الخاصة المستخدمة في أمر SQL | 2.4.0 | مُعيد إنتاج |
| CVE-2026-64640 | Polaris | CWE-863 تفويض غير صحيح | 1.7.0 | مُعيد إنتاج |
Apache Camel: 30 ثغرة CVE
Camel هو المشروع الذي أُشرف عليه، لذا يحظى بأكبر قدر من التدقيق. النمط السائد هو وصول الترويسات الواردة غير المفلترة إلى مستوى التحكم الخاص بأحد المنتجين، إضافة إلى ذيل طويل من إلغاء التسلسل غير الآمن في مسارات السجل والترحيل.