Apache Tapestry classpath 下载漏洞：Java 应用安全提示

漏洞概述

CVE-2026-61899 影响 Apache Tapestry（Java Web 应用框架）。攻击者可通过特定路径下载应用 classpath 中的文件，造成信息泄露。

为什么 classpath 下载危险

classpath 中的资源往往包含：编译后的字节码、配置文件、安全参数、甚至密钥或内部 API 结构。攻击者借力可：

1. 反编译应用逻辑：从字节码逆向业务与安全校验；
2. 泄露配置：数据库连接、第三方密钥等敏感配置；
3. 扩大攻击面：了解内部结构后，精确构造后续利用。

风险评级

• 无需认证即可触发的可能性高；
• 属于"信息泄露→扩大攻击"链条的典型前置漏洞。

修复与检测

1. 升级：升级 Apache Tapestry 到安全版本；
2. 检测：审查访问日志中异常的资源/class 路径请求；
3. 加固：对敏感资源目录设置白名单与访问控制；
4. 审计：检查应用包内是否硬编码了密钥类配置。

小结

Java 框架的信息泄露漏洞往往"不直接致命，但为致命铺垫"。修掉它，等于拆掉攻击者的侦察工具。