CVE-2026-103866 Contrabando de solicitudes HTTP en Apache Sling Engine por un parser de parámetros propio que difiere del…
Vulnerabilidad de interpretación inconsistente de solicitudes HTTP (contrabando de solicitudes/respuestas HTTP) en Apache Sling Engine: el parser de query/form del motor acepta escapes porcentuales no estándar y charsets incorrectos, y continúa procesando la solicitud ante esos errores. Afecta a Apache Sling Engine antes de 3.0.4; se recomienda actualizar a 3.0.4.
CVSS 3.1 · PRELIMINAR
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 11
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Apache Software Foundation Apache Sling Engine
hasta antes de 3.0.4
Qué hacer
- Verificá si usás Apache Sling Engine y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
Esta vulnerabilidad todavía no tiene vector CVSS publicado.
Descripción original
Inconsistent interpretation of HTTP requests ('HTTP Request/Response smuggling') vulnerability in Apache Sling Engine. The engine's query/form parser accepts non-standard percent-escapes, wrong charsets, and continues request processing on such errors.
This issue affects Apache Sling Engine: before 3.0.4.
Users are recommended to upgrade to version 3.0.4, which fixes the issue.
Referencias (2)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.