oscerd/security-researchVulnerabilidades que he reportado a la Apache Software Foundation: 46 CVE en 15 proyectos
Vulnerabilidades que he reportado a la Apache Software Foundation, divulgadas a través del proceso de seguridad de la ASF. 46 CVE en 15 proyectos, de 2023 a 2026.
Cuando existe un reproductor público, se enlaza. Cada uno es un proyecto mínimo y autocontenido que demuestra el problema e indica la versión que lo corrigió.
A través de 25 CWE distintos, dominan dos clases: deserialización de datos no confiables (7) y server-side request forgery (7).
| CVE | Componente | Clase | Corregido en | PoC |
|---|---|---|---|---|
| CVE-2023-41313 | Doris | CWE-208 Discrepancia de tiempo observable | 1.2.8 | - |
| CVE-2023-41834 | Flink Stateful Functions | CWE-74 Neutralización incorrecta de elementos especiales en la salida utilizada por un componente posterior | 3.3.0 | - |
| CVE-2023-43123 | Storm | CWE-200 Exposición de información sensible a un actor no autorizado | 2.6.0 | - |
| CVE-2024-23454 | Hadoop | CWE-378 Creación de archivo temporal con permisos inseguros | 3.4.0 | - |
| CVE-2024-23953 | Hive | CWE-208 Discrepancia de tiempo observable | 4.0.0 | - |
| CVE-2024-29869 | Hive | CWE-732 Asignación incorrecta de permisos para un recurso crítico | 4.0.1 | - |
| CVE-2026-28672 | Ranger | CWE-77 Neutralización incorrecta de elementos especiales usados en un comando | 2.9.0 | reproductor |
| CVE-2026-34476 | SkyWalking MCP | CWE-918 Server-Side Request Forgery | no publicado | - |
| CVE-2026-40005 | IoTDB | CWE-22 Limitación incorrecta de una ruta de acceso a un directorio restringido | 2.0.10 | - |
| CVE-2026-40008 | IoTDB | CWE-470 Uso de entrada controlada externamente para seleccionar clases o código | 2.0.10 | - |
| CVE-2026-40564 | Flink Kubernetes Operator | CWE-918 Server-Side Request Forgery | 1.15.0 | reproductor |
| CVE-2026-41041 | Gravitino | CWE-177 Manejo incorrecto de la codificación de URL | 1.2.1 | - |
| CVE-2026-44616 | Zeppelin | CWE-90 Neutralización incorrecta de elementos especiales usados en una consulta LDAP | 0.12.1 | - |
| CVE-2026-49361 | Fluss (incubating) | CWE-400 Consumo incontrolado de recursos | no publicado | - |
| CVE-2026-63039 | InLong | CWE-89 Neutralización incorrecta de elementos especiales usados en un comando SQL | 2.4.0 | reproductor |
| CVE-2026-64640 | Polaris | CWE-863 Autorización incorrecta | 1.7.0 | reproductor |
Camel es el proyecto que mantengo, por lo que recibe el mayor escrutinio. El patrón dominante es cabeceras entrantes sin filtrar que llegan al plano de control de un productor, además de una larga lista de deserialización insegura en rutas de registro y migración.
