Cyber ·
CVE-2026-79624: Apache Answer mantém acesso a uploads privados após revogação de sessão
Aviso de gravidade moderada: versões do Apache Answer até a 2.0.2 não invalidam sessões revogadas, e tokens de visita obsoletos permitem ler arquivos privados já conhecidos. A correção está na versão 2.0.3.
Segundo o texto curado, a vulnerabilidade foi publicada na lista oss-sec em 15 de outubro e classificada como moderada. Ela afeta o Apache Answer até a versão 2.0.2. A invalidação insuficiente de sessões permite que usuários revogados continuem acessando arquivos privados conhecidos usando um token de visita obsoleto. O aviso recomenda atualizar para a versão 2.0.3, que corrige o problema, e atribui o crédito da descoberta a um pesquisador. O texto é uma tradução automática; a fonte original é o registro público da própria lista oss-sec, que pode ser localizado pelo identificador CVE-2026-79624.
Para organizações que usam o Apache Answer em bases de conhecimento, comunidades ou portais com anexos privados, o passo prático é verificar a versão instalada, aplicar a 2.0.3 e revisar sessões e tokens ativos de usuários que já foram desligados. Esse trabalho é de administração do próprio software; a Rota Nacional não hospeda, não corrige e não administra o Apache Answer.
Se a sua equipe usar IA para estudar o aviso ou planejar a atualização, não cole tokens, cookies, nomes de arquivos privados, endereços internos ou dados de usuários. A barreira da Rota detecta dados pessoais antes de qualquer modelo rodar, mas credenciais devem ser removidas por quem envia o texto, e não devem depender dessa detecção.