CVE-2026-63040: autorização ausente em forceDelete do StreamSource no Apache InLong

Tradução automática do conteúdo disponibilizado no feed de oss-sec. Original: https://seclists.org/oss-sec/2026/q3/535

Publicado por Charles Zhang em 20 de agosto. Gravidade: moderada. Versões afetadas: Apache InLong 2.0.0 até antes da 2.4.0. Descrição: vulnerabilidade de Files or Directories Accessible to External Parties no Apache InLong. O StreamSource não realiza verificação de autorização; qualquer usuário autenticado pode excluir logicamente TODAS as fontes de fluxo. Esse problema afeta o Apache InLong da versão 2.0.0 até antes da 2.4.0. Os usuários são aconselhados a atualizar para o Apache InLong 2.4.0 ou aplicar o pull request [1] para corrigi-la. [1] ...