Aviso publicado em 25 de setembro de 2026 relata XSS armazenado no Apache Roller 6.1.5: usuários autorizados a enviar mídia podem armazenar conteúdo ativo porque o sistema confia no tipo de conteúdo informado no envio.
Um aviso de segurança publicado em 25 de setembro de 2026 descreve a CVE-2026-82387 no Apache Roller 6.1.5. A falha é classificada como XSS armazenado: quem tem permissão para enviar mídia pode armazenar conteúdo ativo na origem do Roller, pois o recurso confia no tipo de conteúdo fornecido no envio.
O aviso informa gravidade moderada e pontuação CVSS 3.1 de 5,4. O vetor publicado é AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N. A versão afetada indicada é Apache Roller 6.1.5. O texto disponível não detalha uma correção nem outras versões afetadas.
Para avaliar a exposição, confira se a organização usa a versão indicada e quais contas podem enviar mídia. Consulte o aviso original no feed oss-sec e as informações de segurança oficiais do Apache Roller; confirme versão, pontuação e orientações de atualização antes de agir. Não presuma que a descrição traduzida contém todos os detalhes.
Ao usar IA para resumir ou aplicar o aviso, envie apenas trechos necessários e remova nomes, e-mails, endereços internos e outros dados identificáveis. Verifique recomendações técnicas nas fontes oficiais: a análise automatizada não substitui a validação da equipe responsável.