CVE-2026-17459 是 SparkJava (perwendel/spark) 组件中的一个路径遍历漏洞，影响版本 up to 2.9.4。该漏洞位于 ExternalResourceHandler.java 文件的 staticFiles.externalLocation 函数中，攻击者通过构造特制请求，可导致 symlink following，即符号链接跟随攻击，进而在服务器上读取受限文件。漏洞利用无需身份验证（但需要低权限？CVSS 权限要求为低），攻击复杂度低，可远程触发。目前漏洞细节已公开，可能已被利用。厂商在问题报告后尚未回应，暂无官方补丁。受影响的 SparkJava 框架用于 Java Web 应用开发，广泛用于快速构建 REST API 等场景。建议用户限制受影响功能的网络暴露，监控异常文件访问，并关注官方更新。