CVE-2026-61466
KrytyczneCVSS 9.1Streszczenie
W Apache CXF w punkcie końcowym rejestracji klientów OAuth2 Dynamic Client Registration serwer autoryzacyjny akceptuje i przechowuje wartość `scope` dostarczoną w żądaniu rejestracji bez jej walidacji względem listy dozwolonych zakresów. Może to prowadzić do samodzielnego nadania sobie uprzywilejowanych zakresów przez klienta podczas rejestracji. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
Ocena ryzyka
Ryzyko nadania sobie przez klienta uprzywilejowanych zakresów, co może prowadzić do nieautoryzowanego dostępu do zasobów chronionych.
Rekomendacja
Zaleca się uaktualnienie Apache CXF do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają tę podatność.
Oryginalny opis (angielski, źródło NVD)
In Apache CXF's OAuth2 Dynamic Client Registration endpoint, the authorization server accepts and stores the `scope` value supplied in the client registration request verbatim, without validating it against an AS-defined allowlist. This could lead to a client self-assigning privileged scopes at registration time. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.