CVE-2026-73099: CSRF Critica in Apache Juneau

Il CVE-2026-73099 descrive una vulnerabilità di Cross-Site Request Forgery (CSRF) nel REST server di Apache Juneau. La falla consiste nell'accettazione di un parametro query 'content' che sostituisce il body della richiesta, abilitato di default su ogni metodo HTTP (GET, POST, PUT, DELETE). Un attaccante può sfruttare questo comportamento per indirizzare vittime verso link malevoli che consegnano richieste arbitrarie agli endpoint Juneau, bypassando le protezioni CORS che si basano sul metodo HTTP o sul content-type anziché su token anti-CSRF.

La vulnerabilità ha una gravità critica con CVSS 10,0, il punteggio massimo. È stata pubblicata nella NVD il 5 novembre 2026. I segnali nei social media mostrano quattro post nelle ultime 24 ore, indicando elevata consapevolezza della comunità. Apache Software Foundation ha prontamente reso disponibile la versione correttiva 9.2.1 che risolve il problema.

Gli amministratori IT e i CISO devono innanzitutto verificare se Apache Juneau è presente in ambienti di produzione. Per la mitigazione: aggiornare immediatamente a versione 9.2.1 oppure, se l'aggiornamento non è possibile da subito, disabilitare il parametro content configurando 'disableContentParam' a true. Verificare inoltre la configurazione CORS e assicurarsi che siano in uso token anti-CSRF su tutti gli endpoint sensibili.