CVE-2026-108088
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
Apache Cocoon est un framework web utilisé pour créer des applications web dynamiques, et cette faille affecte toutes les versions du logiciel. Le problème provient de la manière dont l'application gère son cache interne lors du service de plusieurs utilisateurs. Plus précisément, le système ne parvient pas à isoler correctement les données mises en cache, permettant ainsi à des informations sensibles destinées à un utilisateur d'être stockées et récupérées par un autre.
Un attaquant pourrait potentiellement consulter des données privées appartenant à d'autres utilisateurs, compromettant ainsi la confidentialité de l'application. L'exploitation de cette faille nécessite généralement que l'attaquant dispose d'un accès réseau au serveur web et interagisse avec l'application en tant qu'utilisateur standard. Le projet étant abandonné et aucun correctif n'étant disponible, les seules mesures d'atténuation efficaces consistent à restreindre l'accès aux utilisateurs de confiance ou à migrer vers un framework supporté.
RÉFÉRENCES
Description officielle du NVD (en anglais)
** UNSUPPORTED WHEN ASSIGNED ** Use of cache containing sensitive information vulnerability in Apache Cocoon. When using the cache on a multi-user application, cached values for one user could be used when serving content for other users. This issue affects Apache Cocoon: all versions. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.