CVE-2026-50627
Kritik
Açıklama
Apache CXF içindeki JwtAccessTokenValidator sınıfı, gelen JWT erişim belirteçlerinin 'aud' (Audience) taleplerini doğrulamada başarısız olur. Bu durum, bir Kaynak Sunucusu için düzenlenmiş bir JWT'nin tamamen farklı bir Kaynak Sunucusuna karşı başarıyla yeniden oynatılmasına izin vererek Belirteç Karışıklığı/Yönlendirme (Token Confusion/Routing) saldırılarına yol açar. Kullanıcıların bu sorunu gideren 4.2.2, 4.1.7 veya 3.6.12 sürümlerine yükseltmeleri önerilir.
ÖnemKritik
CVSS9.1
İstismar olasılığı—
Ürün
Apache Cxf
Yayın12 Haz 2026
İlk görülme12 Haz 2026
Zayıflık türüCWE-289CWE-289
Nasıl düzeltilir
Güncelleyin
- apache cxf4.1.7, 4.2.2, 3.6.12 ya da sonraki bir sürüm
- org.apache.cxf:cxf-rt-rs-security-oauth24.2.2, 4.1.7 ya da sonraki bir sürüm
- redhat build_of_apache_camel4.18.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | v < 4.1.7, 4.2.0 ≤ v < 4.2.2, v < 3.6.12, 4.0.0 ≤ v < 4.1.7 | 4.1.7, 4.2.2, 3.6.12 |
| org.apache.cxf:cxf-rt-rs-security-oauth2Maven | 4.2.0 ≤ v < 4.2.2, v < 4.1.7 | 4.2.2, 4.1.7 |
| redhat build_of_apache_camel | v < 4.18.1, 4.18.1 | 4.18.1 |
| redhat fuse | 7.0.0 | — |
| redhat jboss_web_server | 5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.