Cyber ·
CVE-2026-103863: Apache Sling Engine, proteções contra inclusão podem ser contornadas
Advisory de baixa gravidade no Apache Sling Engine. Alterações de Content-Type, charset e redirecionamento feitas por um componente incluído podem escapar às proteções protectheaders e checkcontenttype. Afeta versões anteriores à 3.0.4.
O que foi divulgado: uma vulnerabilidade de neutralização inadequada de entradas durante a geração de páginas web (cross-site scripting) no Apache Sling Engine. Segundo o texto, alterações de Content-Type, charset e redirecionamento feitas por um componente incluído contornam a aplicação de protectheaders e checkcontenttype. O texto cita como caminhos o uso de setHeader(), chamadas repetidas a setContentType(), APIs de charset e a Servlet 6.1.
Versões afetadas: Apache Sling Engine anteriores à 3.0.4. A gravidade informada é baixa. O aviso foi publicado no feed oss-sec em 5 de novembro de 2026 por um mantenedor do projeto. O conteúdo aqui é uma tradução automática do aviso original; a versão em inglês e os detalhes técnicos devem ser conferidos na fonte oficial.
Relevância: quem opera aplicações Java baseadas em Sling deve verificar a versão do componente e, se necessário, atualizar para a 3.0.4 ou superior. Esta notícia não envolve dados pessoais nem um recurso da Rota Nacional.
Como verificar: consulte o aviso original pelo feed oss-sec, localize a referência ao Apache Sling Engine e compare a versão instalada no seu projeto com a versão corrigida informada.