FICHE CVE

CVE-2026-62391

Publiée le 2026-07-31 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les serveurs Apache Kyuubi (versions 1.6.0 à 1.11.x) sont sensibles à un contournement de configuration via les alias de configuration Spark. Un utilisateur authentifié ayant un accès réseau au frontend Kyuubi peut contourner les restrictions de répertoire pour potentiellement lire ou modifier des fichiers sensibles sur le serveur. Cette exploitation est relativement facile à exécuter car elle ne nécessite l'interaction d'aucun tiers et repose sur un accès réseau standard.

CVSS 3.18.1 ÉLEVÉE

Type de faiblesse

Traversée de répertoires · CWE-22 CWE-27

Publiée2026-07-31

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

security@apache.org

Description officielle du NVD (en anglais)

The security fix for CVE-2025-66518 is incomplete. Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allowlist via unprefixed Spark config aliases. This issue affects Apache Kyuubi: from 1.6.0 before 1.12.0. Users are recommended to upgrade to version 1.12.0, which fixes the issue.