Zurück zur Übersicht

Nicht einstufbarKonfidenz: Mittel

EPSS0.2 %

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.· 2026-11-06 12:44 UTCMethodik

[NEU] [mittel] Apache Sling: Mehrere Schwachstellen

CERT-Bund·6. November 2026, 12:44

Originalartikel lesen bei CERT-Bund

Mehrere Schwachstellen in Apache Sling ermöglichen Angreifern Cross-Site Scripting oder andere unbestimmte Auswirkungen. Betroffen sind Apache Sling Engine Versionen unter 3.0.4 auf Plattformen wie Linux, Windows und UNIX. Nutzer sollten umgehend auf die neueste Version aktualisieren, um die Risiken zu mindern.

Key Facts

CVE-2026-103863

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-103864

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@apache.org

CVE-2026-103866

CVSS: unbekannt
EPSS: 0.2%
Über das Netz: unbekannt
Anmeldung nötig: unbekannt
Nutzerinteraktion nötig: unbekannt
Angriffskomplexität: unbekannt
Beeinträchtigt: unbekannt
Patch: unbekannt
Zuweisende CNA: security@apache.org

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen

Initial Access möglich?Unklar
Privilege Escalation relevant?Unklar
Exploit öffentlich verfügbar?Möglich
Detection / Logging prüfbar?Möglich
Für Purple-Team-Szenario geeignet?Unklar

Kundenfragen

Haben wir Windows extern erreichbar?

Quellen & Belege· 1 Quelle

CERT-BundPrimärbelegPUBLICZuverlässigkeit Adiese Meldung

Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.

[NEU] [mittel] Apache Sling: Mehrere Schwachstellen

Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

CVE-Profile

CVE-2026-103863 CVE-2026-103864 CVE-2026-103866

Themen

mittel

Vollständigen Artikel lesen bei CERT-Bund

Erwähnte CVEs (3)

CVE-2026-103863NONE

EPSS 0.2%

Improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Apache Sling Engine. Content-Type, charset, and redirect changes from an included component evade the protectheaders / checkcontenttype enforcement through setHeader(), repeated calls to setContentType(), the charset APIs, Servlet 6.1 redirect overloads, and stale config - enabling stored XSS despite enabled protections. This issue affects Apache Sling Engine before 3.0.4. Users are recommended to upgrade to version 3.0.4, which fixes the issue.

CVE-2026-103864NONE

EPSS 0.2%

Improper output neutralization for logs in Apache Sling Engine. This issue affects Apache Sling Engine: before 3.0.4. Users are recommended to upgrade to version 3.0.4, which fixes the issue.

CVE-2026-103866NONE

EPSS 0.2%

Inconsistent interpretation of HTTP requests ('HTTP Request/Response smuggling') vulnerability in Apache Sling Engine. The engine's query/form parser accepts non-standard percent-escapes, wrong charsets, and continues request processing on such errors. This issue affects Apache Sling Engine: before 3.0.4. Users are recommended to upgrade to version 3.0.4, which fixes the issue.