CVE-2026-65583
KrytyczneCVSS 9.1Streszczenie
Walidacja tokenów OIDC w Apache CXF może akceptować samowystawione tokeny ID bez wymaganych kontroli roszczeń (issuer/subject/audience/time i sub_jwk binding), co umożliwia obejście uwierzytelnienia przy użyciu spreparowanych tokenów. Należy jednak zauważyć, że samowystawione tokeny ID nie są domyślnie akceptowane w walidatorze. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
Ocena ryzyka
Ryzyko obejścia uwierzytelnienia i uzyskania nieautoryzowanego dostępu do zasobów chronionych przez spreparowane tokeny, co może prowadzić do naruszenia integralności sesji.
Rekomendacja
Zaleca się uaktualnienie Apache CXF do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają tę podatność.
Oryginalny opis (angielski, źródło NVD)
Apache CXF’s OIDC relying-party token validation could accept self-issued ID tokens without enforcing required claim checks (issuer/subject/audience/time and sub_jwk binding), enabling authentication bypass with crafted tokens. However, note that self-issued ID tokens are not accepted by default in the validator. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fixes this issue.