В ZooKeeper нашли два обхода ACL в редко проверяемых путях кода

Apache ZooKeeper 3.9.6 и 3.8.7 закрывают две уязвимости обхода контроля доступа: CVE-2026-79993 позволяет удалять пустые узлы без проверки ACL через опкод deleteContainer, а CVE-2026-59739 раскрывает пути при воспроизведении watch после переподключения. Обе получили оценку 7.5.

• CVE-2026-79993: удаление пустого znode без проверки прав через опкод 20
• CVE-2026-59739: неполный фикс CVE-2024-23944 в DataTree.setWatches()
• Уязвимы версии 3.9.0–3.9.5 и 3.8.0–3.8.6, исправление в 3.9.6 и 3.8.7
• CVE-2026-84439 и CVE-2026-84501 (5.3) допускают инъекции в логи