已更新Sep 3, 2026
security-research — 已更新!
我向 Apache Software Foundation 报告的漏洞：跨 15 个项目的 46 个 CVE
安全研究
我向 Apache 软件基金会报告的漏洞，通过 ASF 安全流程 披露。15 个项目中共 46 个 CVE，2023 年至 2026 年。
若存在公开的复现程序，则会提供链接。每个复现程序都是一个最小化、自包含的项目，用于演示该问题，并指明修复该问题的版本。
涉及 25 个不同的 CWE，其中两类占主导：不可信数据的反序列化（7 个）和服务端请求伪造（7 个）。
遍及 Apache 生态系统：16 个 CVE，14 个项目
| CVE | 组件 | 类别 | 修复版本 | PoC |
|---|---|---|---|---|
| CVE-2023-41313 | Doris | CWE-208 可观测的时间差异 | 1.2.8 | - |
| CVE-2023-41834 | Flink Stateful Functions | CWE-74 下游组件所用输出中特殊元素的不当中和 | 3.3.0 | - |
| CVE-2023-43123 | Storm | CWE-200 敏感信息向未授权行为者暴露 | 2.6.0 | - |
| CVE-2024-23454 | Hadoop | CWE-378 以不安全权限创建临时文件 | 3.4.0 | - |
| CVE-2024-23953 | Hive | CWE-208 可观测的时间差异 | 4.0.0 | - |
| CVE-2024-29869 | Hive | CWE-732 关键资源的权限分配不正确 | 4.0.1 | - |
| CVE-2026-28672 | Ranger | CWE-77 命令中所用特殊元素的不当中和 | 2.9.0 | 复现程序 |
| CVE-2026-34476 | SkyWalking MCP | CWE-918 服务端请求伪造 | 未发布 | - |
| CVE-2026-40005 | IoTDB | CWE-22 对路径名限制到受限目录的不当限制 | 2.0.10 | - |
| CVE-2026-40008 | IoTDB | CWE-470 使用外部控制的输入来选择类或代码 | 2.0.10 | - |
| CVE-2026-40564 | Flink Kubernetes Operator | CWE-918 服务端请求伪造 | 1.15.0 | 复现程序 |
| CVE-2026-41041 | Gravitino | CWE-177 URL 编码处理不当 | 1.2.1 | - |
| CVE-2026-44616 | Zeppelin | CWE-90 LDAP 查询中所用特殊元素的不当中和 | 0.12.1 | - |
| CVE-2026-49361 | Fluss（孵化中） | CWE-400 不受控制的资源消耗 | 未发布 | - |
| CVE-2026-63039 | InLong | CWE-89 SQL 命令中所用特殊元素的不当中和 | 2.4.0 | 复现程序 |
| CVE-2026-64640 | Polaris | CWE-863 授权不正确 | 1.7.0 | 复现程序 |
Apache Camel：30 个 CVE
Camel 是我维护的项目，因此受到的审查最为严格。主要模式是未经过滤的入站标头到达生产者的控制平面，此外还有注册表和迁移路径中一长串不安全的反序列化问题。
| CVE | 组件 | 类别 | 修复版本 | PoC |
|---|---|---|---|---|
| CVE-2024-23114 | Camel | CWE-502 不可信数据反序列化 | 3.21.4、3.22.1、4.0.4、4.4.0 | - |
| CVE-2026-23552 | Camel | CWE-346 源验证错误 | 4.18.0 | 复现程序 |
| CVE-2026-25747 | Camel LevelDB | CWE-502 不可信数据反序列化 | 4.10.9、4.14.5、4.18.0 | 复现程序 |
| CVE-2026-27172 | Camel | CWE-502 不可信数据反序列化 | 4.14.6、4.18.1 | 复现程序 |
| CVE-2026-40047 | Camel | CWE-88 命令中参数分隔符的不当中和 | 4.18.3 | 复现程序 |
| CVE-2026-40048 | Camel PQC | CWE-502 不可信数据反序列化 | 4.18.2、4.20.0 | 复现程序 |
| CVE-2026-43866 | Camel | CWE-502 不可信数据反序列化 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-43867 | Camel | CWE-502 不可信数据反序列化 | 4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46455 | Camel | CWE-613 会话过期不充分 | 4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46585 | Camel Lucene | CWE-639 通过用户可控键绕过授权 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46590 | Camel | CWE-502 不可信数据反序列化 | 4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46591 | Camel | CWE-943 数据查询逻辑中特殊元素的不当中和 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46592 | Camel | CWE-441 非预期代理或中间人 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-46726 | Camel Vertx Websocket | CWE-918 服务端请求伪造 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-48203 | Camel | CWE-918 服务端请求伪造 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-48204 | Camel | CWE-284 访问控制不当 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-48205 | Camel DNS | CWE-918 服务端请求伪造 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-48206 | Camel JIRA | CWE-639 通过用户可控键绕过授权 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-49086 | Camel Dapr | CWE-441 非预期代理或中间人 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-49097 | Camel | CWE-74 下游组件使用的输出中特殊元素的不当中和 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-49098 | Camel | CWE-74 下游组件使用的输出中特殊元素的不当中和 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-49099 | Camel Salesforce | CWE-639 通过用户可控键绕过授权 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-49365 | Camel | CWE-209 生成包含敏感信息的错误消息 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-53913 | Camel Keycloak | CWE-636 未安全失败 | 4.18.3、4.21.0 | 复现程序 |
| CVE-2026-55993 | Camel Atmosphere Websocket | CWE-918 服务端请求伪造 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-55994 | Camel Iggy | CWE-918 服务端请求伪造 | 4.18.3、4.21.0 | 复现程序 |
| CVE-2026-56139 | Camel Undertow | CWE-209 生成包含敏感信息的错误消息 | 4.14.8、4.18.3、4.21.0 | 复现程序 |
| CVE-2026-56140 | Camel AWS2 SNS | CWE-20 输入验证不当 | 4.14.8、4.18.3、4.21.0 | - |
| CVE-2026-63621 | Camel Knative | CWE-20 输入验证不当 | 4.14.9、4.18.4、4.22.0 | 复现程序 |
| CVE-2026-78329 | Camel Undertow | CWE-20 输入验证不当 | 4.14.9、4.18.4、4.22.0 | 复现程序 |