CVE-2026-63687
Açıklama
Apache CXF'in JwtRequestCodeFilter bileşeni, imzalı bir istek JWT'sindeki tüm claim'leri, güvenlik açısından hassas parametreleri hariç tutmadan yetkilendirme parametre haritasına kopyalamaktadır. Geçerli şekilde imzalanmış bir istek JWT'si oluşturabilen bir istemci (örneğin, client_secret bilgisi bilinen veya ele geçirilmiş olan), dış HTTP isteğinde ayarlanan code_challenge, code_challenge_method, nonce ve state değerlerini bu yolla değiştirerek PKCE bütünlüğünü ve OpenID Connect yeniden oynatma korumasını zayıflatabilir. Kullanıcıların, bu sorunu gideren 4.2.3, 4.1.8 veya 3.6.12 sürümlerine yükseltmeleri önerilir.
Nasıl düzeltilir
- apache cxf3.6.12, 4.1.8, 4.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | v < 3.6.12, 4.0.0 ≤ v < 4.1.8, 4.2.0 ≤ v < 4.2.3 | 3.6.12, 4.1.8, 4.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.