CVE-2026-121489: Path Traversal Critica in Apache Juneau 9.2.0

CVE-2026-121489 descrive una vulnerabilità di path traversal nella microservice DirectoryResource di Apache Juneau (versioni fino a 9.2.0). La falla consente a un client di sfuggire al controllo di directory configurato come root ed accedere a file al di fuori di esso, ovunque il processo server disponga di permessi. Il rischio si concretizza solo se l'applicazione abilita le funzionalità di view, upload o delete della risorsa, che per impostazione predefinita restano disabilitate.

Il punteggio CVSS è 10,0, il massimo, e riflette l'impatto critico sugli asset del server. La vulnerabilità è stata pubblicata il 2026-11-05 ed è accompagnata da una patch (versione 9.2.1) disponibile immediatamente. Tre post su X nelle ultime 24 ore segnalano la criticità della falla tra i professionisti della sicurezza, confermando l'attenzione della comunità. Non sono stati segnalati exploit pubblici su repository GitHub al momento della pubblicazione.

I responsabili IT devono verificare urgentemente quali applicazioni Juneau sono in produzione e se DirectoryResource è abilitata nelle loro configurazioni. L'aggiornamento a versione 9.2.1 è prioritario. Chi non può aggiornare immediatamente deve implementare controlli di accesso a livello applicativo e monitorare i log di accesso ai file. Un audit storico degli accessi è raccomandato per identificare eventuali sfruttamenti passati.