Cyber ·
CVE-2026-103866: Apache Sling Engine permite request smuggling por interpretação divergente de parâmetros
Advisory de baixa gravidade sobre o Apache Sling Engine: análise inconsistente de parâmetros pode permitir HTTP request smuggling em versões anteriores à 3.0.4. Publicado em 5 de novembro, a partir do feed oss-sec.
Segundo o aviso publicado em 5 de novembro no feed oss-sec, o Apache Sling Engine apresenta uma falha de interpretação inconsistente de requisições HTTP, classificada como 'HTTP Request/Response smuggling'. A gravidade informada é baixa. Afetam as versões anteriores à 3.0.4. O parser de consultas e formulários aceita escapes percentuais fora do padrão e conjuntos de caracteres incorretos, e continua o processamento mesmo diante desses erros. Essa divergência entre componentes pode permitir que uma requisição seja interpretada de forma diferente por proxies e pelo servidor. O aviso recomenda atualizar para a versão 3.0.4 ou posterior. Para conferir o original, consulte o arquivo da lista oss-sec referente ao quarto trimestre de 2026, buscando pelo identificador CVE-2026-103866. Este conteúdo é um aviso de segurança e não é um tutorial, por isso não há passo de uso da plataforma aqui.