Apache Neethi doesn't impose any restrictions on URIs when manually fetching remote policy references through the PolicyReference API

CVE-2026-42404 → 在 GitHub 查看 ↗ 在 CVE.org 查看 ↗ 在 NVD 查看 ↗

描述

Apache Neethi does not impose any restrictions on URIs when manually fetching remote policy references through the PolicyReference API. When an application explicitly calls the API to retrieve a policy from a remote URI, an outbound request is made for arbitrary protocols and internal IP adddresses. From 3.2.2, only http or https URIs are allowed, and link-local/multicast/any-local addresses are forbidden.

Users are recommended to upgrade to version 3.2.2, which fixes this issue.

基本信息

类型
reviewed
严重度
medium
GitHub 上的公告
打开公告 ↗
仓库公告
—
源代码
浏览源码 ↗
公开（公告）
2026-05-01 12:30:24 UTC
更新时间
2026-05-07 02:54:55 UTC
GitHub 审核
2026-05-07 02:54:54 UTC
NVD 公开
2026-05-01

EPSS Score

Score Percentile
0.03% 10.39%

CVSS Scores

Base score Version Severity Vector
6.5 3.1 —
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N 点击展开
攻击向量 (AV:N)
经互联网或企业内可路由网段即可从远端触达，攻击者不必出现在设备旁。
攻击复杂度 (AC:L)
前置条件清晰，成功路径稳定，不依赖罕见竞态或苛刻环境。
权限要求 (PR:N)
不必事先登录或提权，匿名会话也可能成为跳板。
用户交互 (UI:N)
无需受害者点击链接、放行宏或安装软件，攻击链可自动走完。
作用域 (S:U)
破坏局限在脆弱组件原本的安全权限与信任域之内。
机密性影响 (C:L)
可能外泄部分字段或样本数据，但难以形成“整库拖走”的局面。
完整性影响 (I:L)
能改局部记录或配置，但尚不致让整站／整库数据整体不可信。
可用性影响 (A:N)
不至于造成业务意义上的长时间停摆或灾难性性能崩塌。

Identifiers

Type Value
GHSA GHSA-287c-fxr7-3w6c ↗
CVE CVE-2026-42404 ↗

CWEs

CWE id Name
CWE-918 Server-Side Request Forgery (SSRF)

Affected packages (1)

Vulnerable version ranges and first patched releases as published by GitHub.

Ecosystem Package Vulnerable range First patched Vulnerable functions
maven org.apache.neethi:neethi < 3.2.2 3.2.2 —

References

cvelogic Threat Intelligence