🛡 xj1.fr/cve
FICHE CVE

CVE-2026-56091

Publiée le 2026-06-25 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les applications web utilisant le module `shiro-guice` d'Apache Shiro dans un contexte de servlet sont vulnérables à un contournement de l'authentification. Un attaquant non authentifié disposant d'un accès réseau peut envoyer une requête HTTP spécialement conçue pour obtenir un accès non autorisé à des parties protégées du système. Cette exploitation est relativement simple à exécuter et ne nécessite aucune interaction de la part d'un utilisateur légitime.

CVSS 4.08.2 ÉLEVÉE
Type de faiblesse
CWE-289
Publiée2026-06-25
Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau
Complexité d'attaqueFaible
Prérequis d'attaquePrésent
Privilèges requisAucun
Interaction utilisateurAucune
Confidentialité (système vulnérable)Élevée
Intégrité (système vulnérable)Aucune
Disponibilité (système vulnérable)Aucune
Confidentialité (système subséquent)Aucune
Intégrité (système subséquent)Aucune
Disponibilité (système subséquent)Aucune
Sécurité des personnesPrésente
AutomatisableOui
Densité de valeurDiffuse
Effort de réponseFaible
Urgence du fournisseurAmber

RÉFÉRENCES

Description officielle du NVD (en anglais)

When using Apache Shiro with the shiro-guice module in a web servlet context, a specially crafted HTTP request may cause an authentication bypass. This vulnerability is similar to https://www.cve.org/CVERecord?id=CVE-2020-1957 https://www.cve.org/CVERecord , except that it affects the `shiro-guice` module instead of the `shiro-spring` module. This issue affects all Apache Shiro versions through 2.x, and 3.0.0-alpha-1 only when using `shiro-guice` module in a web servlet context. Upgrade to version 3.0.0 or later, which fixes the issue.