CVE-2026-120421

ŚrednieCVSS 6.1

Opublikowano: 04/11/2026(UTC)Zaktualizowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Streszczenie

W Eclipse Mojarra w wersjach 2.2.0 do 4.0.28, 4.1.0 do 4.1.19 oraz 5.0.0-M1 do 5.0.0-M11, gdy włączony jest tryb okna klienta URL (jakarta.faces.CLIENT_WINDOW_MODE=url), identyfikator okna klienta z parametru żądania jfwid lub jakarta.faces.ClientWindow jest dołączany do generowanych adresów URL bez kodowania URL. Komponent h:button renderuje taki adres URL w literale ciągu JavaScript, co pozwala na odbity cross-site scripting. Przy com.sun.faces.enableCspNonce=true wstrzyknięty skrypt uruchamia się przy ładowaniu strony wewnątrz elementu skryptu nonce, omijając Content Security Policy.

Ocena ryzyka

Atakujący może przeprowadzić atak XSS, wykonując dowolny kod JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji lub danych. Możliwe jest obejście CSP.

Rekomendacja

Zaktualizuj Eclipse Mojarra do wersji zawierającej poprawkę. Rozważ wyłączenie trybu URL client window mode, jeśli nie jest wymagany.

Inne podatności w Eclipse Mojarra

CVE-2026-46581Wysokie
W Eclipse Mojarra w wersjach 2.3 i nowszych, obsługa URL w DefaultFaceletFactory nie blokuje zdalnych URL-i, co pozwala atakującemu na dołączenie zdalnego Faceleta do przetwarzania żądania z uprawnieniami serwera.

Oryginalny opis (angielski, źródło NVD)

In Eclipse Mojarra versions 2.2.0 through 4.0.28, 4.1.0 through 4.1.19, and 5.0.0-M1 through 5.0.0-M11, when URL client window mode is enabled (`jakarta.faces.CLIENT_WINDOW_MODE=url`), the client window id from the `jfwid` or `jakarta.faces.ClientWindow` request parameter is appended to generated URLs without URL-encoding. `h:button` renders such a URL into a JavaScript string literal, which allows reflected cross-site scripting. With `com.sun.faces.enableCspNonce=true`, the injected script runs on page load inside the nonce script element, bypassing the Content Security Policy.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS