CVE-2026-50645
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Brak ograniczeń dotyczących liczby nagłówków załączników w wiadomości podczas deserializacji przez Apache CXF może prowadzić do niekontrolowanego zużycia zasobów lub ataku typu denial of service.
Ocena ryzyka
Organizacja może być narażona na ataki, które mogą prowadzić do przeciążenia systemu i przerwy w dostępności usług.
Rekomendacja
Zaleca się aktualizację do wersji 4.2.2 lub 4.1.7, które wprowadzają maksymalne domyślne ograniczenie do 500 załączników na wiadomość.
Oryginalny opis (angielski, źródło NVD)
There is no restriction on the amount of attachment headers that a message can contain when being deserialized by Apache CXF, which can lead to uncontrolled resource consumption or a denial of service attack. Users are recommended to upgrade to versions 4.2.2 or 4.1.7, which fix this issue by imposing a maximum default of 500 attachments per message.