CVE-2026-68079
KrytyczneCVSS 9.8Streszczenie
W Apache CXF w komponencie DefaultEncryptingCodeDataProvider kod autoryzacyjny może być wykorzystany wielokrotnie z powodu błędu w implementacji funkcji removeCodeGrant. Narusza to wymóg RFC, że kod autoryzacyjny nie może być użyty więcej niż raz. Zalecane jest uaktualnienie do wersji 4.2.3, 4.1.8 lub 3.6.12.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do zasobów chronionych przez wielokrotne użycie kodu autoryzacyjnego, co może prowadzić do przejęcia sesji lub nieautoryzowanych operacji.
Rekomendacja
Zaleca się natychmiastowe uaktualnienie Apache CXF do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają tę podatność.
Oryginalny opis (angielski, źródło NVD)
In Apache CXF's DefaultEncryptingCodeDataProvider, a captured authorization code can be redeemed an unlimited number of times due to a flaw in the implementation of the removeCodeGrant functionality. This violates the RFC requirement that "The authorization code MUST NOT be used more than once." Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.