FICHE CVE

CVE-2025-66518

Publiée le 2026-01-05 · Dernière modification le 2026-10-07

🇫🇷 EN BREF

Les serveurs Apache Kyuubi (versions 1.6.0 à 1.10.2) sont vulnérables à un contournement de configuration qui permet aux utilisateurs d'accéder à des fichiers locaux ne figurant pas dans la liste des répertoires autorisés du serveur. Un attaquant disposant d'identifiants de bas niveau et d'un accès réseau peut exploiter cette faille pour lire des fichiers restreints sur le système hôte, bien que l'attaque nécessite un certain niveau d'interaction de l'utilisateur pour réussir. Comme elle requiert une authentification, il ne s'agit pas d'une prise de contrôle à distance non authentifiée, mais cela représente un risque significatif pour la confidentialité des données.

CVSS 4.08.8 ÉLEVÉE

Type de faiblesse

CWE-27 Traversée de répertoires · CWE-22

Publiée2026-01-05

Dernière modification2026-10-07

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Élevée

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allow.list and use local files which are not listed in the config. This issue affects Apache Kyuubi: from 1.6.0 through 1.10.2. Users are recommended to upgrade to version 1.10.3 or upper, which fixes the issue.