CVE-2026-66909 in CXF
الملخص
بحسب VulDB • 06/08/2026
يؤدي استخدام Apache CXF لنقل JMS إلى إلغاء تسلسل (deserialization) جسم أي رسالة JMS ObjectMessage واردة باستخدام آلية إلغاء التسلسل الأصلية في Java، دون وجود قيود على الأنواع. يمكن لأي مهاجم قادر على وضع رسالة على وجهة خدمة JMS تقديم كائن مُسَلْسِل ضار، مما يؤدي إلى حجب الخدمة أو، إذا كان هناك فئة غadget مناسبة موجودة في مسار الفئة (classpath)، تنفيذ الكود عن بُعد. يعطل الإصلاح عملية إلغاء تسلسل ObjectMessage افتراضيًا، مع وجود مفتاح تكوين لإعادة تمكينها عند الحاجة. يُنصح المستخدمين بالترقية إلى الإصدارات 4.2.3 أو 4.1.8 أو 3.6.12 التي تصلح هذه المشكلة.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.