CVE-2026-102695
Açıklama
OmniFaces, Faces için bir yardımcı kitaplıktır. OmniFaces'in 1.14.3, 2.7.33, 3.14.23, 4.7.12 ve 5.4.2 öncesindeki sürümlerinde CombinedResourceHandler, sunucu tarafından verildiğini doğrulamadan yapısal olarak geçerli, deflate edilmiş ve base64 ile kodlanmış bir birleştirilmiş kaynak kimliğini kabul eder. Sahte bir kimlik; sınırsız çözülmüş çıktıya neden olabilir, işlem ömrü önbelleğine benzersiz yeniden oluşturulmuş kimlikler ekleyebilir veya stil sayfaları ve betikler dışındaki kaynakları birleştirebilir. Bu özel çözümleme yolu tarafından jakarta.faces.RESOURCE_EXCLUDES uygulanmadığı için sahte bir kimlik, webapp kaynak ağacından veya META-INF/resources üzerinden Facelets kaynağını ifşa edebilir. Joker karakter CDN eşlemesiyle yapılandırılmış bir dağıtımda, omnifaces.graphic seçen sahte bir kimlik, hedefi kısmen istek Host başlığından türetilen kör ve dağıtıma bağlı bir sunucu tarafı getirme işlemine de neden olabilir. Hata, rastgele dosya okuma imkanı sağlamaz veya rastgele şema ya da rastgele hedef içeren bir SSRF oluşturmaz. Ortak kimlik doğrulama hatası, bellek tüketimine ve sınırlı kaynak ifşasına izin verir. Bu sorun 1.14.3, 2.7.33, 3.14.23, 4.7.12 ve 5.4.2 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.omnifaces:omnifaces1.14.3, 2.7.33, 3.14.23, 4.7.12, 5.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.omnifaces:omnifacesMaven | v < 1.14.3, 2.0.0 ≤ v < 2.7.33, 3.0.0 ≤ v < 3.14.23, 4.0.0 ≤ v < 4.7.12, 5.0.0 ≤ v < 5.4.2 | 1.14.3, 2.7.33, 3.14.23, 4.7.12, 5.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.