CVE-2026-50634
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Podatność w JwsJsonContainerRequestFilter w Apache CXF może być wykorzystana do przetwarzania metadanych, które nie zostały uwierzytelnione przez akceptowany podpis. Może to ominąć założenie aplikacji, że akceptowane nagłówki Content-Type lub chronione nagłówki HTTP pochodzą z zweryfikowanego wpisu podpisu, i może wpłynąć na dalsze parsowanie encji JAX-RS lub sprawdzanie spójności podpisanych nagłówków. Zalecana aktualizacja do wersji 4.2.2, 4.1.7 lub 3.6.12.
Ocena ryzyka
Atakujący może manipulować metadanymi żądań, co może prowadzić do obejścia kontroli bezpieczeństwa, nieprawidłowego przetwarzania danych lub naruszenia integralności komunikatów.
Rekomendacja
Zaktualizuj Apache CXF do wersji 4.2.2, 4.1.7 lub 3.6.12. Przejrzyj konfigurację filtrów JAX-RS pod kątem bezpieczeństwa.
Inne podatności w Apache CXF
Zobacz wszystkie- CVE-2017-3156Wysokie
Kod walidacji MAC OAuth2 Hawk i JOSE w Apache CXF przed wersją 3.0.13 oraz 3.1.x przed wersją 3.1.10 nie używa algorytmu porównywania podpisów MAC w stałym czasie, co może być wykorzystane przez zaawansowane ataki czasowe.
- CVE-2026-68079Krytyczne
W Apache CXF w komponencie DefaultEncryptingCodeDataProvider kod autoryzacyjny może być wykorzystany wielokrotnie z powodu błędu w implementacji funkcji removeCodeGrant. Narusza to wymóg RFC, że kod autoryzacyjny nie może być użyty więcej niż raz. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
- CVE-2026-65583Krytyczne
Walidacja tokenów OIDC w Apache CXF może akceptować samowystawione tokeny ID bez wymaganych kontroli roszczeń (issuer/subject/audience/time i sub_jwk binding), co umożliwia obejście uwierzytelnienia przy użyciu spreparowanych tokenów. Należy jednak zauważyć, że samowystawione tokeny ID nie są domyślnie akceptowane w walidatorze. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
- CVE-2026-63687Krytyczne
W Apache CXF filtr JwtRequestCodeFilter kopiuje wszystkie roszczenia z podpisanego JWT do mapy parametrów autoryzacji bez wykluczania parametrów wrażliwych dla bezpieczeństwa. Klient, który może wygenerować prawidłowo podpisany JWT (np. gdy zna lub skompromituje client_secret), może podmienić wartości code_challenge, code_challenge_method, nonce i state, co osłabia integralność PKCE i ochronę przed replay w OpenID Connect. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
- CVE-2026-61466Krytyczne
W Apache CXF w punkcie końcowym rejestracji klientów OAuth2 Dynamic Client Registration serwer autoryzacyjny akceptuje i przechowuje wartość `scope` dostarczoną w żądaniu rejestracji bez jej walidacji względem listy dozwolonych zakresów. Może to prowadzić do samodzielnego nadania sobie uprzywilejowanych zakresów przez klienta podczas rejestracji. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
- CVE-2026-66909Krytyczne
Transport JMS w Apache CXF deserializuje treść każdej przychodzącej wiadomości JMS ObjectMessage przy użyciu natywnej deserializacji Java, bez żadnych ograniczeń typów. Każdy atakujący, który może umieścić wiadomość w kolejce JMS usługi, może przesłać złośliwy zserializowany obiekt, prowadząc do odmowy usługi lub, jeśli odpowiednia klasa gadget znajduje się na ścieżce klas, do zdalnego wykonania kodu. Poprawka wyłącza domyślnie deserializację ObjectMessage, z możliwością ponownego włączenia przez konfigurację.
- CVE-2026-50628Krytyczne
Błąd logiczny w OAuthRequestFilter odrzuca prawidłowe żądania pochodzące z powiązanego adresu IP, jednocześnie bezwarunkowo przepuszczając żądania z dowolnego innego adresu IP. Włączenie tej funkcji bezpieczeństwa przypadkowo tworzy odwróconą kontrolę bezpieczeństwa.
- CVE-2026-50627Krytyczne
Klasa JwtAccessTokenValidator w Apache CXF nie weryfikuje roszczeń 'aud' (Audience) w przychodzących tokenach JWT. Umożliwia to ponowne użycie tokenu JWT wydanego dla jednego serwera zasobów przeciwko innemu serwerowi, prowadząc do ataków typu Token Confusion/Routing.
- CVE-2026-49875Krytyczne
Klasy EndpointReferenceUtils i W3CMultiSchemaFactory w Apache CXF tworzą SAXParserFactory bez niezbędnych zabezpieczeń JAXP, co umożliwia rozwiązywanie zewnętrznych encji poza pasmem (OOB).
- CVE-2026-44930Krytyczne
Podatność na wstrzykiwanie LDAP w repozytorium certyfikatów LDAP serwera XKMS w Apache CXF. Umożliwia atakującemu pobranie dowolnych certyfikatów z repozytorium.
Oryginalny opis (angielski, źródło NVD)
A vulnerability in Apache CXF's JwsJsonContainerRequestFilter can be exploited to cause CXF to process metadata that was not authenticated by the accepted signature. This can bypass the application's assumption that accepted `Content-Type` or protected HTTP-header metadata came from a verified signature entry, and may steer downstream JAX-RS entity parsing or signed-header consistency checks. Users are recommended to upgrade to versions 4.2.2 or 4.1.7 or 3.6.12, which fix this issue.