CVE-2026-92119: atribuição em massa na API REST do Apache Allura exige atualização para 1.22.0

O que aconteceu e o que fazer

O aviso, publicado por Dave Brondsema no canal oss-sec em 12 de outubro, descreve a CVE-2026-92119, uma falha de atribuição em massa na API REST do Apache Allura. A vulnerabilidade afeta o Apache Allura até a versão 1.21.0 e é classificada como de gravidade moderada. O problema foi relatado por CyberLeo, e a versão 1.22.0 corrige a falha.

Na prática, atribuição em massa ocorre quando a API aceita campos enviados pelo cliente que deveriam ser controlados apenas pelo servidor, permitindo alterar dados fora do escopo do usuário. Uma empresa que usa o Allura como ferramenta interna de código ou gestão de projetos pode inventariar as instâncias e versões em uso, planejar a atualização para 1.22.0 e revisar os registros de chamadas à API em busca de requisições com campos inesperados. Em paralelo, é possível criar uma verificação automatizada de versões em todos os ambientes e uma lista explícita de campos aceitos em cada endpoint REST, bloqueando alterações não previstas.

Como a consultoria pode ajudar

Diagnóstico da exposição das instâncias de Apache Allura, com inventário de versões e endpoints REST, e plano de atualização para 1.22.0 com validação dos campos aceitos. Implementação de monitoramento de versões e de auditoria das chamadas à API, com operação acompanhada no ambiente do cliente.

Próximo passo

Se a sua empresa usa o Apache Allura, envie uma breve descrição do seu ambiente e do caso, e receba uma proposta com escopo definido para diagnóstico e correção.