CVE-2026-102695

OmniFaces, Faces üçün köməkçi kitabxanadır. OmniFaces-in 1.14.3, 2.7.33, 3.14.23, 4.7.12 və 5.4.2 versiyalarından əvvəlki versiyalarında CombinedResourceHandler, server tərəfindən təsdiqləndiyini yoxlamadan struktur baxımından düzgün olan, sıxılmış (deflated) və base64 formatında kodlaşdırılmış birləşdirilmiş resurs ID-sini qəbul edir. Saxtalaşdırılmış ID məhdudiyyətsiz dekodlaşdırılmış çıxışa səbəb ola bilər, prosesin ömrü boyu davam edən keşə unikal bərpa edilmiş ID-lər əlavə edə bilər və ya stil cədvəlləri və skriptlərdən başqa resursları birləşdirə bilər. Bu xüsusi həll yolu vasitəsilə jakarta.faces.RESOURCE_EXCLUDES tətbiq edilmədiyi üçün saxtalaşdırılmış ID veb proqramın resurs ağacından və ya META-INF/resources qovluğundan Facelets mənbələrini ifşa edə bilər. Wildcard CDN xəritələnməsi ilə konfiqurasiya edilmiş yerləşdirmədə, omnifaces.graphic seçən saxtalaşdırılmış ID həmçinin mənzili qismən sorğunun Host başlığından asılı olan kor, yerləşdirmədən asılı server tərəfli sorğuya (fetch) səbəb ola bilər. Bu çatışmazlıq ixtiyari fayl oxumağa imkan vermir, habelə ixtiyari sxemli və ya ixtiyari təyinatlı SSRF yaratmır. Ortaq autentifikasiya uğursuzluğu yaddaşın tükənməsinə və məhdud resurs ifşasına şərait yaradır. Bu problem 1.14.3, 2.7.33, 3.14.23, 4.7.12 və 5.4.2 versiyalarında aradan qaldırılmışdır.