Cyber ·
CVE-2026-76168: Apache James permite path traversal entre usuários em scripts ManageSieve
Advisory de segurança divulgado em 6 de novembro de 2026 sobre path traversal no Apache James anterior à versão 3.9.1, que pode permitir a um usuário autenticado definir scripts SIEVE para outros usuários, causando negação de serviço ou captura de tráfego.
Segundo o texto recebido, o advisory CVE-2026-76168 trata de validação incorreta de caminhos usada pelo SieveFileRepository do Apache James. A falha afeta versões anteriores à 3.9.1 e é classificada com severidade importante. Um atacante conectado pode definir scripts SIEVE arbitrários para outros usuários, o que pode resultar em negação de serviço ou até mesmo captura de tráfego. O conteúdo foi publicado por um contribuidor do projeto no feed oss-sec em 6 de novembro de 2026. O texto disponível é uma tradução automática e está truncado na recomendação de atualização, portanto a versão exata a ser adotada deve ser confirmada no original. Para verificar, consulte o advisory original no arquivo da lista oss-sec e as notas de versão do projeto Apache James. A Rota Nacional não opera nem corrige servidores de e-mail, e este item não descreve nenhuma capacidade da plataforma. A relevância está no inventário: equipes que administram Apache James devem identificar instâncias abaixo da 3.9.1 e planejar a atualização.