CVE-2026-93649 Redirección abierta en el sitio de Eclipse Adoptium

Qué es CVE-2026-93649

La página posterior a la descarga /[locale]/download toma una URL del parámetro link y navega automáticamente a ella mediante meta refresh. La validación contra prefijos de confianza usa String.startsWith() sobre la cadena sin normalizar, mientras el navegador aplica normalización de segmentos de punto RFC 3986, por lo que una URL como https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe pasa la comprobación pero resuelve a un repositorio del atacante. La víctima ve la página…

Productos y versiones afectadas

• Eclipse Foundation Adoptium Temurin

  • hasta antes de 1f9753c

Qué hacer

1. Verificá si usás Adoptium Temurin y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

In the Eclipse Adoptium website (adoptium.net), in every deployment built from commit 0b24ea1 (2025-06-18) up to the fix in commit cbb53cf (2026-09-24), the post-download page /[locale]/download takes a download URL from the "link" query parameter and automatically navigates to it with a meta http-equiv="refresh". The URL is checked against a list of trusted prefixes using String.startsWith() on the raw string, while the browser applies RFC 3986 dot-segment normalisation before navigating, so a value such as https://github.com/adoptium/temurin/../../attacker/malware/releases/download/v1/jdk.exe passes the check but resolves to an attacker-controlled repository. A victim who follows a crafted adoptium.net link is shown the genuine "Thank you for downloading Eclipse Temurin" page while their browser downloads a binary of the attacker's choosing

Referencias

• github.com/adoptium/adoptium.net/security/advisories/GHSA-f228-m952-5r6w#event-1046947
• gitlab.eclipse.org/security/cve-assignment/-/work_items/313
• github.com/adoptium/adoptium.net/commit/cbb53cf4a41f068a70902217473d7e2fe5d6c6ad

Historial de la alerta

1. 15 OCT · 11:36VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.