CVE-2026-73098

🆕 New CVEs Apache Software Foundation products: 8 critical CVEs Worst: path traversal in DirectoryResource (CVE-2026-121489) Patch → 9.2.1 https://cve.now/CVE-2026-121489?release=CVE-2026-73098,CVE-2026-73099,CVE-2026-73100,CVE-2026-73101,CVE-2026-73116,CVE-2026-73117,CVE-2026-96677&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

ExploitGrid Daily Digest 🚨 Top CVEs: CVE-2026-121489 (CVSS: 10) Apache Softw... CVE-2026-122051 (CVSS: 10) edimax CVE-2026-73098 (CVSS: 10) Apache Softw... CVE-2026-73099 (CVSS: 10) Apache Softw... CVE-2026-73100 (CVSS: 10) Apache Softw... ..🧵👇

CVE-2026-73098 · CRITICAL · CVSS 10.0 Apache Juneau through 9.2.0 has an unsafe reflection vulnerability, allowing an attacker to control class initialization during parsing. The impact depends on the classes present in the deployment. CVSS 4.0 · apache https://cve.new/CVE-2026-73098

【11/6 昼】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① SignalWire「FreeSWITCH」：SIPのメッセージ処理でOSコマンドを実行され、実際の悪用も観測される脆弱性、1.11.3で修正（CVE-2026-116779、CVSS v3.1 9.8） SIPのMESSAGEを受けたときの処理で、宛先の「+」の左側をチャットの通信方式の指定として扱い、「api」を選ぶとFreeSWITCHのAPIコマンドを実行できてしまいます。APIコマンドにはOSのコマンドを実行するものもあり、認証済みのアカウントで届くほか、標準設定ではパスワードを持たない利用者でも条件を満たす場合があります。同じ日に公表されたWebSocketのヒープ上書き（CVE-2026-116785、CVSS 9.1）とICEの検証不備（CVE-2026-116790、CVSS 9.1）は1.11.2で修正されています。CVE-2026-116779は実際の悪用が観測されたと記録されており、電話基盤として使っている環境は1.11.3への更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-116779 出典：GitHub https://github.com/signalwire/freeswitch/security/advisories/GHSA-mg63-h38w-8p9p 出典：GitHub https://github.com/signalwire/freeswitch/releases/tag/v1.11.3 ② Apache「Juneau」：CVSS 10.0の脆弱性が8件まとめて公表、9.2.1で修正（CVE-2026-121489ほか、CVSS v4.0 10.0） JavaのRESTフレームワークであるApache Juneauに、5日に8件の脆弱性がまとめて公表されました。マイクロサービスのファイル公開機能では、指定した範囲の外のファイルを読み書き・削除されるパストラバーサルがあり、値の変換処理では指定されたクラスが実行されてしまう問題があります。このほか、CSRF、ログやエラーメッセージへの機微な情報の混入、リダイレクト先への認証情報の漏えい、レスポンス分割、クロスサイトスクリプティングが含まれます。対象は9.2.0までで、修正版は9.2.1です。ファイル公開機能は既定では無効ですが、有効にしている環境は影響を確認し、修正版への更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-121489 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-73098 出典：Apache https://lists.apache.org/thread.html/j05q7vw08j48o96tdlzcsd4sozx1lyl6 ③ Apache「OFBiz」：認証の回避とコード実行の脆弱性が2件、24.09.08で修正（CVE-2026-82907／CVE-2026-83542、CVSS v3.1 9.8） 業務システム基盤のApache OFBizに、ログインなしで狙える重大な脆弱性が2件公表されました。1件は、外部ログイン用のキー（externalLoginKey）が期限もなく、使い回しもできるため、キーを入手した攻撃者が他人のセッションをそのまま奪ってしまう認証回避です。もう1件は、細工した画面部品のXMLとGroovyの式を読み込ませて、ログインなしでサーバー上の任意のコードを実行できてしまう問題です。対象は24.09の24.09.08未満で、修正版は24.09.08です。現時点で実際の悪用の報告は確認できていませんが、インターネットに公開している環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-82907 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-83542 出典：Apache https://lists.apache.org/thread.html/7b2syzksp7klt9fvhdg0olldvs2g83lz ④ SuiteCRM「SuiteCRM」：認証済みの利用者によるコード実行と管理者によるPHP注入、7.15.2と8.10.2で修正（CVE-2026-71550／CVE-2026-100358、CVSS v3.1 9.9／9.4） オープンソースのCRMであるSuiteCRMに、コードを実行される脆弱性が2件公表されました。ワークフロー機能では、パスの指定をすり抜けてPHPのファイルを読み込ませることができ、ワークフローの権限を持つ認証済みの利用者がサーバー上で任意のコードを実行できてしまいます。もう1件は、管理者が使う項目の編集画面でPHPのコードを注入でき、保存されたコードが後の画面表示で実行されてしまう問題です。対象は7.15.2未満と8.10.2未満で、修正版は7.15.2と8.10.2です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-71550 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-100358 出典：GitHub https://github.com/SuiteCRM/SuiteCRM/security/advisories/GHSA-cx24-rr7r-mxrg ⑤ Kubeflow「Kubeflow Pipelines」：低権限の利用者が共有パイプラインへ攻撃者の版を差し込める認可の不備、2.18.0で修正（CVE-2026-77596、CVSS v3.1 9.6） 機械学習の処理手順を管理するKubeflow Pipelinesに、認可の確認をすり抜ける脆弱性が公表されました。パイプラインの登録時に、対象の名前空間が空の場合に権限の確認が行われないため、低権限のテナントが共有パイプラインを作ったり、既存の共有パイプラインへ攻撃者の版を差し込んだりできてしまいます。認証用のプロキシなしでAPIが直接届く環境では、ログインしていない利用者でも同じ迂回が可能です。定期実行が最新版を追う設定の場合、差し込まれた版が別テナントの名前空間で実行されるおそれがあります。対象は2.18.0未満で、修正版は2.18.0です。現時点で実際の悪用の報告は確認できていません。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-77596 出典：GitHub https://github.com/kubeflow/pipelines/security/advisories/GHSA-rjr3-43j3-4q8g ⑥ BTCPay Server「BTCPay Server」：ログインなしで決済ノードの認証情報を取り出され、資金を動かされうる脆弱性、2.4.2で修正（CVE-2026-119757、CVSS v4.0 9.3） ビットコイン決済のBTCPay Serverに、ログインなしで狙える情報漏えいの脆弱性が公表されました。Lightning Networkのノード（LND）の認証情報ファイル（.macaroon）を取り出せてしまい、取り出した認証情報を使うとLNDノードを完全に操作され、資金を移動されるおそれがあります。対象は2.4.2未満（2.4.2のリリース候補版を含む）で、修正版は2.4.2です。運用中の環境は更新するとともに、LNDの認証情報が漏れていないかもあわせて確認してください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-119757 出典：BTCPay Server https://blog.btcpayserver.org/security-advisory-btcpay-server-2-4-2/ 出典：VulnCheck https://www.vulncheck.com/advisories/btcpay-server-lnd-macaroon-credential-file-disclosure ⑦ GE Vernova「PowerSYSTEM Center」：低権限の利用者による権限昇格とSQLインジェクション、2026 Update 1.1などで修正（CVE-2026-63017／CVE-2026-63774、CVSS v4.0 9.4） 電力系統の運用で使うGE VernovaのPowerSYSTEM Centerに、認証済みの低権限の利用者が狙える脆弱性が2件公表されました。1件は権限の確認の不備で、管理者しか使えないはずの機能へ届いてしまう問題、もう1件はレポート設計機能のSQLインジェクションで、データベースを読み書きされてしまう問題です。対象は2020（5.29.x以前）、2024（6.0.xから6.2.x）、2026（7.0.xから7.1.x）で、修正は2020 Update 30、2024と2026は2026 Update 1.1へ更新することです。米CISAの勧告では、これらの脆弱性を具体的に標的とした既知の悪用はないとされています。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-63017 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-63774 出典：CISA https://www.cisa.gov/news-events/ics-advisories/icsa-26-307-01 ■注意点 ・FreeSWITCH（CVE-2026-116779）は実際の悪用が観測されたと記録されています。電話基盤で使っている場合は1.11.3への更新を急いでください。 ・Apache JuneauとOFBizは、重大な脆弱性がまとめて修正されました。Java系のサーバーソフトを使っている環境は、利用の有無と版を確認してください。 ・BTCPay Serverは資金に直結する問題です。2.4.2未満で運用している場合は、更新とあわせてLNDの認証情報の露出を確認してください。 #脆弱性 #CVE #サイバーセキュリティ

🆕 New CVE: CVE-2026-73098 (CVSS 10.0, Enclave score 3/10) Apache Juneau: Unsafe reflection allows attacker-controlled class initialization during parsing Remote, no login needed. Improper control of dynamically-loaded code vulnerability in Apache… https://app.enclave.ai/threat-feed/CVE-2026-73098

[CVE] CVE-2026-73098 [HIGH PRIORITY] CVSS: 10 | Vendor: #ApacheSoftwareFoundation #Apache Juneau: Unsafe reflection allows attacker-controlled class initializat... 🔗 https://exploitgrid.net/cve/CVE-2026-73098

CVE advisory: CVE-2026-73098 - apache: Apache Juneau: Unsafe reflection allows attacker-controlled class initialization during parsing. https://vulnipulse.com/advisories/apache-cve-2026-73098 #CVE #CyberSecurity #Apache

☕ Apache Juneau CVE-2026-73098: CVSS 10 critical. Parsing a value into a java.lang.Class property triggers attacker-controlled class initialization. No auth required, full system scope impact. Patch now. #cybersecurity #ciso #cto #vulnerabilities #Apache https://secalerts.co/vulnerability/CVE-2026-73098?utm_campaign=x