CVE-2026-23903
Publiée le 2026-02-09 · Dernière modification le 2026-08-20
Les applications utilisant des versions d'Apache Shiro antérieures à la 2.0.7 sur des systèmes de fichiers qui ne distinguent pas la casse (comme macOS) sont vulnérables à un contournement de l'authentification. Un attaquant non authentifié disposant d'un accès réseau peut consulter des fichiers statiques restreints en modifiant simplement la casse du nom du fichier dans la requête URL. Ce contournement se produit lorsque les filtres de sécurité sont configurés uniquement pour des noms en minuscules, permettant à la requête de passer à travers le filtre et d'être servie par le système d'exploitation sous-jacent.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Authentication Bypass by Alternate Name vulnerability in Apache Shiro. This issue affects Apache Shiro: before 2.0.7. Users are recommended to upgrade to version 2.0.7, which fixes the issue. The issue only effects static files. If static files are served from a case-insensitive filesystem, such as default macOS setup, static files may be accessed by varying the case of the filename in the request. If only lower-case (common default) filters are present in Shiro, they may be bypassed this way. Shiro 2.1.0 and later has a new parameters to remediate this issue shiro.ini: filterChainResolver.caseInsensitive = true application.properties: shiro.caseInsensitive=true Shiro 3.0.0 and later makes this the default in shiro.ini-based configurations. Shiro 3.0.1 and later makes this the default in all configurations, including programmatic and Spring / Spring Boot.