CVE-2026-46581

WysokieCVSS 7.5

Opublikowano: 05/08/2026(UTC)Zaktualizowano: 23/10/2026(UTC)Przetłumaczono: 05/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.56%

Percentyl 46 - wyżej niż 46% wszystkich znanych CVE

Streszczenie

W Eclipse Mojarra w wersjach 2.3 i nowszych, obsługa URL w DefaultFaceletFactory nie blokuje zdalnych URL-i, co pozwala atakującemu na dołączenie zdalnego Faceleta do przetwarzania żądania z uprawnieniami serwera.

Ocena ryzyka

Atakujący może uzyskać dostęp do ograniczonych plików, takich jak WEB-INF/web.xml lub /etc/passwd, co może prowadzić do ujawnienia wrażliwych informacji.

Rekomendacja

Zaktualizuj Eclipse Mojarra do wersji z poprawką lub skonfiguruj blokowanie zdalnych URL-i w konfiguracji aplikacji.

Inne podatności w Eclipse Mojarra

CVE-2026-120421Średnie
W Eclipse Mojarra w wersjach 2.2.0 do 4.0.28, 4.1.0 do 4.1.19 oraz 5.0.0-M1 do 5.0.0-M11, gdy włączony jest tryb okna klienta URL (jakarta.faces.CLIENT_WINDOW_MODE=url), identyfikator okna klienta z parametru żądania jfwid lub jakarta.faces.ClientWindow jest dołączany do generowanych adresów URL bez kodowania URL. Komponent h:button renderuje taki adres URL w literale ciągu JavaScript, co pozwala na odbity cross-site scripting. Przy com.sun.faces.enableCspNonce=true wstrzyknięty skrypt uruchamia się przy ładowaniu strony wewnątrz elementu skryptu nonce, omijając Content Security Policy.

Oryginalny opis (angielski, źródło NVD)

In Eclipse Mojarra versions 2.3 and following, URL handing in `DefaultFaceletFactory` does not properly sanitize and/or block remote URLs, allowing an attacker to specify a URL to a remote Facelet which will be included and processed as part of the normal request, with the privileges of the target server. This could allow access to restricted files such as `WEB-INF/web.xml` or `/etc/passwd`.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS