CVE-2026-102695

WysokieCVSS 8.2

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.31%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

W OmniFaces w wersjach przed 1.14.3, 2.7.33, 3.14.23, 4.7.12 i 5.4.2, CombinedResourceHandler akceptuje strukturalnie poprawne, zdeflowane i zakodowane w base64 połączone ID zasobu bez weryfikacji, czy zostało ono wydane przez serwer. Sfałszowane ID może spowodować nieograniczone wyjście po dekodowaniu, dodanie unikalnych zrekonstruowanych ID do cache'u o czasie życia procesu lub łączenie zasobów innych niż arkusze stylów i skrypty. Ponieważ jakarta.faces.RESOURCE_EXCLUDES nie jest stosowane przez tę niestandardową ścieżkę rozwiązywania, sfałszowane ID może ujawnić źródło Facelets z drzewa zasobów aplikacji webowej lub META-INF/resources. W konfiguracji z mapowaniem CDN z symbolem wieloznacznym, sfałszowane ID wybierające omnifaces.graphic może również spowodować ślepe, zależne od wdrożenia pobranie po stronie serwera, którego cel częściowo pochodzi z nagłówka Host żądania. Luka nie zapewnia dowolnego odczytu plików ani nie ustanawia SSRF o dowolnym schemacie lub celu. Wspólna awaria autentyczności pozwala na wyczerpanie pamięci i ograniczone ujawnienie zasobów.

Ocena ryzyka

Atakujący może wywołać wyczerpanie pamięci (DoS) oraz ujawnić ograniczone zasoby, w tym źródła Facelets, co może prowadzić do przerwy w działaniu usługi i naruszenia poufności.

Rekomendacja

Zaktualizuj OmniFaces do wersji 1.14.3, 2.7.33, 3.14.23, 4.7.12 lub 5.4.2 (lub nowszej), aby naprawić podatność.

Inne podatności w OmniFaces

CVE-2026-41883Wysokie
OmniFaces, biblioteka narzędziowa dla Faces, przed wersjami 1.14.2, 2.7.32, 3.14.16, 4.7.5 i 5.2.3, zawiera podatność na wstrzykiwanie EL po stronie serwera, co prowadzi do zdalnego wykonania kodu (RCE). Atakujący może skonstruować URL żądania zasobu zawierający wyrażenie EL w nazwie zasobu, które jest oceniane po stronie serwera.

Oryginalny opis (angielski, źródło NVD)

OmniFaces is a utility library for Faces. In OmniFaces versions before 1.14.3, 2.7.33, 3.14.23, 4.7.12, and 5.4.2, CombinedResourceHandler accepts a structurally valid deflated and base64 encoded combined resource ID without verifying that the server issued it. A forged ID can cause unbounded decoded output, add unique reconstructed IDs to a process-lifetime cache, or combine resources other than stylesheets and scripts. Because jakarta.faces.RESOURCE_EXCLUDES is not applied by this custom resolution path, a forged ID can disclose Facelets source from the webapp resource tree or META-INF/resources. In a deployment configured with the wildcard CDN mapping, a forged ID that selects omnifaces.graphic can also cause a blind, deployment-dependent server-side fetch whose destination derives partly from the request Host header. The flaw does not provide arbitrary file read or establish arbitrary-scheme or arbitrary-destination SSRF. The shared authenticity failure permits memory exhaustion and limited resource disclosure. This issue is fixed in versions 1.14.3, 2.7.33, 3.14.23, 4.7.12, and 5.4.2.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS