Apache Allura: массовое присваивание в REST API (CVE-2026-92119)
В Apache Allura, платформе для хостинга проектов с открытым исходным кодом, выявлена уязвимость массового присваивания (Mass Assignment) в REST API. Проблема затрагивает все версии вплоть до 1.21.0 включительно и позволяет изменять защищённые поля объектов через API-запросы. Разработчики выпустили исправление в версии 1.22.0 — обновление настоятельно рекомендуется.
Подробности
Уязвимость типа Mass Assignment возникает, когда приложение автоматически связывает параметры входящего запроса со свойствами внутренних объектов, не ограничивая список полей, доступных для изменения. В случае Apache Allura это означает, что злоумышленник, отправляя специально сформированный запрос к REST API, потенциально может изменить атрибуты объектов, которые не должны быть доступны для правки через API. Это может привести к изменению привилегий, обходу ограничений логики приложения или искажению данных. Согласно описанию CVE, проблема затрагивает Apache Allura во всех версиях вплоть до 1.21.0 включительно. Уязвимость исправлена в релизе 1.22.0. На момент публикации записи CVE метрики CVSS в предоставленном источнике не указаны, поэтому уровень критичности в баллах не приводится — тем не менее класс уязвимости традиционно считается значимым, поскольку может вести к повышению привилегий или несанкционированному изменению конфигурации. Важно отметить, что для эксплуатации, как правило, требуется наличие действующей учётной записи и доступа к API, однако при недостаточной проверке прав влияние может быть существенным для развёртываний, где Allura используется как центральная платформа для совместной работы.Что делать
Основная и наиболее надёжная рекомендация — обновить Apache Allura до версии 1.22.0, в которой уязвимость устранена. Администраторам следует запланировать миграцию в приоритетном порядке, особенно если экземпляр Allura доступен из внешних сетей или используется большим числом пользователей. Если немедленное обновление невозможно, в качестве временных мер можно рассмотреть: - ограничение сетевого доступа к REST API (например, только для доверенных подсетей или через VPN); - ужесточение проверки прав на уровне обратного прокси или WAF с блокировкой подозрительных запросов, содержащих неожиданные поля; - аудит логов API на предмет попыток изменения защищённых атрибутов; - ограничение числа пользователей, обладающих правами на работу с API. После обновления рекомендуется проверить целостность критичных объектов (проектов, ролей, настроек) на предмет несанкционированных изменений, а также пересмотреть политику выдачи токенов и прав доступа. Итог: CVE-2026-92119 — уязвимость массового присваивания в REST API Apache Allura, затрагивающая версии до 1.21.0 включительно. Исправление доступно в 1.22.0, и обновление является ключевым шагом по устранению риска. Всем, кто использует Allura в инфраструктуре, стоит провести инвентаризацию развёртываний и обновить их как можно скорее.Источник: CVE Project (cvelistV5)