CVE-2026-57817
NieznaneStreszczenie
Specyfikacja OpenID Connect Core 1.0 wymaga, aby RP (Relying Party) walidowało parametr `c_hash` podczas działania w trybie Hybrydowym. Jeśli RP Apache CXF jest zintegrowane z niezgodnym lub źle skonfigurowanym dostawcą tożsamości (IdP), który pomija `c_hash`, RP staje się podatne na ataki typu Authorization Code Substitution/Injection. Zaleca się aktualizację do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają ten problem.
Ocena ryzyka
Ryzyko obejmuje możliwość przejęcia sesji użytkownika lub nieautoryzowanego dostępu do zasobów poprzez podmianę kodu autoryzacyjnego.
Rekomendacja
Zaleca się aktualizację Apache CXF do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają tę podatność. Należy również upewnić się, że dostawca tożsamości jest zgodny ze specyfikacją OpenID Connect.
Oryginalny opis (angielski, źródło NVD)
The OpenID Connect Core 1.0 specification mandates that the RP MUST validate the `c_hash` parameter when operating in the Hybrid Flow. If an Apache CXF RP is integrated with a non-compliant or misconfigured Identity Provider (IdP) that omits the `c_hash`, the RP becomes vulnerable to Authorization Code Substitution/Injection attacks. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.