PT-2026-3768 · Apache · Rule Based Authorization Plugin+1
Monkeontheroof
·
Publicado
2026-01-20
·
Atualizado
2026-04-02
·
CVE-2026-22022
CVSS v2.0
8.5
Alta
| Vetor | AV:N/AC:L/Au:N/C:C/I:P/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões 5.3.0 a 9.10.0 do Apache Solr
Descrição
Implantações do Apache Solr que utilizam o Plugin de Autorização Baseada em Regras estão suscetíveis a acesso não autorizado a certas APIs do Solr. Isso ocorre devido à validação de entrada insuficiente nos componentes do plugin. O problema está presente apenas quando determinadas condições são atendidas: a utilização do Plugin de Autorização Baseada em Regras, uma configuração que especifica múltiplos papéis, uma lista de permissões utilizando regras predefinidas como "config-read", "config-edit", "schema-read", "metrics-read" ou "security-read", a ausência da permissão predefinida "all" na lista de permissões e uma configuração de rede que permite solicitações de clientes não filtradas ao Solr. A vulnerabilidade permite que atacantes contornem os controles de acesso em endpoints administrativos explorando uma falha lógica.
Recomendações
Para as versões 5.3.0 a 9.10.0 do Apache Solr, certifique-se de que a configuração do Plugin de Autorização Baseada em Regras especifique a permissão predefinida "all" e a associe a um papel "admin" ou outro papel privilegiado. Alternativamente, atualize para uma versão do Solr fora do intervalo afetado, como a versão 9.10.1.
Correção
Improper Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Solr
Rule Based Authorization Plugin