CVE-2026-66713 in Axis2
Zusammenfassung
von VulDB • 28.07.2026
Deserialisierung von nicht vertrauenswürdigen Daten (CWE-502) in der Tribes-basierten Clustering-Komponente von Apache Software Foundation Apache Axis2/Java bis Version 2.0.0 auf Apache Tomcat (nur wenn das Tribes-Clustering aktiviert ist, was standardmäßig deaktiviert ist), ermöglicht es einem nicht authentifizierten entfernten Angreifer mit Netzwerkzugriff auf den Clustering-Port, beliebigen Code auszuführen, indem ein speziell konstruiertes serialisiertes Java-Objekt an den Cluster-Kanal gesendet und in org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceived deserialisiert wird. Es wird empfohlen, auf Version 2.0.1 zu aktualisieren, die dieses Problem behebt, indem sie das Clustering-Feature vollständig entfernt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.