CVE-2026-62391

8.1 Élevée

Publiée le 31/07/2026 à 13:17 · Modifiée le 10/08/2026 à 16:22 · Analysée par le NVD · Source : security@apache.org

Description

The security fix for CVE-2025-66518 is incomplete. Any client who can access to Apache Kyuubi Server via Kyuubi frontend protocols can bypass server-side config kyuubi.session.local.dir.allowlist via unprefixed Spark config aliases. This issue affects Apache Kyuubi: from 1.6.0 before 1.12.0. Users are recommended to upgrade to version 1.12.0, which fixes the issue.

Traduire en français

Produits concernés

Apache Software Foundation Apache Kyuubi
Apache kyuubi

Scores CVSS

Version	Score	Source	Vecteur
3.1	8.1 Élevée	134c704f-9b21-4f2e-91b3-4a467353bcc0	`CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N`

Faiblesses (CWE)

CWE-22
CWE-27

Références

https://lists.apache.org/thread/vo4k4nxz23kfzrpp120nsojb0vrkx4w1 Mailing ListVendor Advisory

Ailleurs

NVD
CVE.org
CIRCL Vulnerability-Lookup
CERT-FR
GitHub Advisories