CVE-2026-68481

Yüksek

Açıklama

Apache CXF'in DefaultEncryptingOAuthDataProvider bileşeninde, iptal edilen erişim belirteçleri hâlâ başarıyla şifresi çözülmekte ve TokenIntrospectionService active:true bildirmektedir. Aynı durum yenileme belirteçleri için de geçerlidir. Bu, "The authorization server MUST invalidate the token." ve "introspection of a revoked token MUST return {"active":false}" RFC hükümlerini ihlal etmektedir. Kullanıcıların bu sorunu düzelten 4.2.3 veya 4.1.8 veya 3.6.12 sürümlerine yükseltmeleri önerilir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

Ürün

Apache Cxf

Yayın6 Ağu 2026

İlk görülme6 Ağu 2026

Zayıflık türüCWE-672CWE-672

Nasıl düzeltilir

Güncelleyin

apache cxf3.6.12, 4.1.8, 4.2.3 ya da sonraki bir sürüm

Üretici duyuruları

lists.apache.org/thread/88c0h10yjb2b8201o1km3st71fs2zw2b

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
apache cxf	v < 3.6.12, 4.0.0 ≤ v < 4.1.8, 4.2.0 ≤ v < 4.2.3	3.6.12, 4.1.8, 4.2.3

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.