PT-2026-43120 · Apache · Apache Shiro

James Love + 1 · Publicado 2026-05-25 · Atualizado 2026-05-28 · CVE-2026-44598

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Apache Shiro versões 2.0-alpha até 2.1.0 Apache Shiro versão 3.0.0-alpha-1

Description Existe um problema no módulo de integração shiro-jakarta-ee onde o cookie shiroSavedRequest não é validado após um login bem-sucedido. Isso permite que um invasor com credenciais válidas forje o cookie, resultando em Redirecionamento de URL para Sites Não Confiáveis (Open Redirect) e Server-Side Request Forgery (SSRF), onde o servidor é forçado a enviar uma requisição HTTP GET para uma URL arbitrária.

Recommendations Atualizar as versões 2.0-alpha até 2.1.0 para a versão 2.1.1 ou posterior. Atualizar a versão 3.0.0-alpha-1 para a versão 3.0.0-alpha-2 ou posterior.

Correção

Open Redirect

SSRF

Enumeração de Fraquezas

CWE-601

CWE-918

Identificadores relacionados

CVE-2026-44598

Produtos afetados

Apache Shiro

Referências · 8

• https://cve.org/CVERecord?id=CVE-2026-44598 · Nota de Segurança
• https://t.me/cveNotify/165010 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2026-44598 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-44598 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-44598 · Aviso do Fabricante
• https://openwall.com/lists/oss-security/2026/05/25/8 · Nota
• http://openwall.com/lists/oss-security/2026/05/25/8 · Nota
• https://shiro.apache.org/security-reports.html#cve_2026_44598 · Aviso do Fabricante