CVE-2026-41870
Publiée le 2026-09-09 · Dernière modification le 2026-09-11
Les serveurs Apache Nutch (versions 1.11 à 1.22) sont vulnérables à l'exécution de code à distance via l'API REST. Un attaquant disposant d'identifiants d'utilisateur basiques peut envoyer une requête réseau spécialement conçue pour exécuter du code arbitraire sur votre serveur, lui accordant potentiellement le contrôle total du système. Cette exploitation est relativement facile à réaliser car elle ne nécessite qu'une authentification valide avec des privilèges restreints, sans qu'un utilisateur n'ait besoin de cliquer sur un lien ou d'interagir avec le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Missing Authorization, Improper Control of Generation of Code ('Code Injection'), Improper Control of Dynamically-Managed Code Resources, Use of Externally-Controlled Input to Select Classes or Code ('Unsafe Reflection') vulnerability in Apache Nutch Server (Nutch REST API). This issue affects Apache Nutch: from 1.11 through 1.22. Users are recommended to upgrade to version 1.23, which removes the Nutch Server. If an upgrade is not possible, user must restrict access to instances running the Nutch Service to trusted users only. Please, also visit the Apache Nutch security advisories https://nutch.apache.org/documentation/security/ .