Cyber ·
CVE-2026-103864: Apache Sling Engine permite entradas CR/LF nos logs sem neutralização
Falha de baixa gravidade no Apache Sling Engine: valores de solicitações chegam aos logs sem neutralização adequada de CR/LF. Afeta versões anteriores à 3.0.4, que corrige o problema. A falha é acompanhada como SLING-13360 e SLING-13361.
Em 5 de novembro de 2026, Joerg Hoh publicou no feed oss-sec um aviso sobre a CVE-2026-103864, relacionada ao Apache Sling Engine. Segundo o aviso, o componente não neutraliza adequadamente a saída destinada aos logs, de modo que valores de solicitações podem chegar aos registros sem tratamento de caracteres de retorno de carro (CR) e avanço de linha (LF). A gravidade informada é baixa. As versões afetadas são todas as anteriores à 3.0.4, e os usuários são orientados a atualizar para a 3.0.4, que corrige o problema. O aviso acompanha o caso como SLING-13360 e SLING-13361. Os créditos são atribuídos à The Apache Software Foundation, como pesquisadora, e a uma ferramenta de programação com IA. Para verificar a informação, consulte o aviso original no feed oss-sec e a página do projeto Apache Sling, ambos indicados na fonte. Para o leitor, a relevância está em que registros de log malformados podem dificultar a auditoria e a análise de incidentes. O texto não indica relação com produtos ou serviços da Rota Nacional.