CVE-2026-92414: falha crítica no Apache Jackrabbit permite reuso de sessões em cache

O aviso CVE-2026-92414 foi publicado por Julian Reschke na lista oss-sec em 7 de outubro de 2026 e atribui pontuação CVSS 4.0 de 9,3, classificada como crítica. O vetor informado indica ataque pela rede, complexidade baixa, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade e integridade e sem impacto declarado em disponibilidade. Segundo o texto, o servidor WebDAV associa uma sessão autenticada em cache a qualquer requisição, o que caracteriza fixação de sessão e reutilização de sessão entre usuários. As versões afetadas são Apache Jackrabbit 2.23.0 até 2.23.5, 2.22.0 até 2.22.4 e 2.20.0 até 2.20.17. O material consultado é uma tradução automática de um conteúdo do feed oss-sec e o trecho disponível está truncado, por isso a descrição técnica completa, os detalhes de correção e as recomendações de mitigação devem ser lidos no aviso original. A relevância para a Rota Nacional é indireta: a plataforma não executa nem corrige o Jackrabbit, e nenhuma capacidade da Rota resolve essa falha. Quem opera o software deve comparar a versão instalada com a lista de versões afetadas e aplicar a atualização indicada pelo fabricante. Se a equipe usar IA para estudar o aviso, não cole tokens, cookies, chaves, logs de sessão ou configurações com identificadores reais. A detecção da Rota cobre dados pessoais como CPF, CNPJ, e-mail, telefone e nomes, mas segredos técnicos devem ser removidos pelo próprio usuário antes do envio.