CVE-2026-50629

ŚrednieCVSS 5.3

Opublikowano: 12/06/2026(UTC)Zaktualizowano: 05/11/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Parametr 'clientId' z przychodzących żądań HTTP jest bezpośrednio łączony z komunikatami ostrzegawczymi logów serwera OAuth2 bez sanityzacji znaków kontrolnych. Pozwala to atakującemu na wstrzyknięcie dowolnej treści, w tym fałszywych wpisów logów, do plików logów serwera. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Ocena ryzyka

Manipulacja logami może utrudnić wykrycie ataków, umożliwić zatarcie śladów lub wprowadzić w błąd administratorów podczas analizy zdarzeń bezpieczeństwa.

Rekomendacja

Zaktualizuj komponent OAuth2 do wersji 4.2.2, 4.1.7 lub 3.6.12. Dodatkowo rozważ filtrowanie znaków kontrolnych na poziomie wejścia.

Inne podatności w Apache CXF OAuth2

CVE-2026-50630Średnie
Podatność CRLF injection w klasie OAuth2 AuthorizationUtils. Podczas konstruowania nagłówka odpowiedzi WWW-Authenticate parametr 'realm' jest łączony bez sanityzacji znaków CR i LF. Jeśli atakujący może kontrolować wartość realm, może wstrzyknąć dowolne nagłówki HTTP lub całkowicie rozdzielić odpowiedź HTTP. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.

Oryginalny opis (angielski, źródło NVD)

The 'clientId' parameter from incoming HTTP requests is directly concatenated into OAuth2 server log warning messages without sanitizing control characters. This allows an attacker to inject arbitrary content, including fake log entries, into the server's log files. Users are recommended to upgrade to versions 4.2.2 or 4.1.7 or 3.6.12, which fixes this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS