PT-2026-36788 · Apache · Apache Atlas

Qx L · Publicado 2026-05-04 · Atualizado 2026-05-06 · CVE-2026-40563

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Atlas versões 0.8 até 2.4.0

Description Existe um problema de controle inadequado de geração de código no endpoint de busca DSL, que aceita strings de consulta fornecidas pelo usuário. Um invasor pode alterar a lógica de travessia Gremlin usando caracteres permitidos pela gramática para acessar dados não pretendidos. Para as versões 2.0 e posteriores, este problema ocorre apenas quando o software é implantado com a configuração não padrão atlas.dsl.executor.traversal=false.

Recommendations Atualizar para a versão 2.5.0.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-40563

GHSA-35XX-9XRG-GWHF

Produtos afetados

Apache Atlas

Referências · 8

• https://github.com/apache/atlas · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40563 · Nota de Segurança
• https://lists.apache.org/thread/vd0oggmqxl2k1skm0z2f9p0plx7jhmfl · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-35xx-9xrg-gwhf · Aviso do Fabricante
• https://twitter.com/the_yellow_fall/status/2051490565028778435 · Publicação no Twitter
• https://t.me/cveNotify/162351 · Publicação no Telegram
• http://openwall.com/lists/oss-security/2026/05/03/9 · Nota
• https://twitter.com/oss_security/status/2051161115732693447 · Publicação no Twitter