JVNDB-2026-027037

Apache Software FoundationのZeppelinにおけるクロスサイトリクエストフォージェリの脆弱性

Apache Zeppelinにおけるクロスサイトリクエストフォージェリ（CSRF）脆弱性があります。デフォルトのCORS設定により、クロスオリジンの状態変更リクエストが許可され、text/plainのリクエストボディが受け入れられていました。このため、認証済みユーザーを悪意のあるサイトに誘導した攻撃者が、RESTおよびWebSocketエンドポイントを介してユーザーに代わって操作を実行できる可能性があります。本問題はApache Zeppelinのバージョン0.6.0から0.12.0に影響を与えます。ユーザーは本問題を修正したバージョン0.12.1にアップグレードすることを推奨します。

Apache Software Foundation

• Zeppelin 0.6.0 以上 0.12.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-44613: Apache Zeppelin: Cross-site request forgery in REST and WebSocket request handling-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-44613: Apache Zeppelin: Cross-site request forgery in REST and WebSocket request handling

1. クロスサイトリクエストフォージェリ(CWE-352) [その他]

1. CVE-2026-44613

1. National Vulnerability Database (NVD) : CVE-2026-44613
2. 関連文書 : [MINOR] Tighten origin and content-type handling in REST/WebSocket layer by jongyoul  Pull Request #5229  apache/zeppelin  GitHub

• [2026年08月06日]
    掲載