CVE-2026-66909 in CXF
Zusammenfassung
von VulDB • 06.08.2026
Der JMS-Transport von Apache CXF deserialisiert den Body jeder eingehenden JMS ObjectMessage unter Verwendung der nativen Java-Deserialisierung, wobei keine Typbeschränkungen gelten. Jeder Angreifer, der in der Lage ist, eine Nachricht im JMS-Zielbereich des Dienstes zu platzieren, kann ein bösartig serialisiertes Objekt übermitteln, was zu einem Denial of Service oder – sofern sich eine geeignete Gadget-Klasse auf dem Classpath befindet – zur Remote Code Execution (RCE) führen kann. Die Korrektur deaktiviert die Deserialisierung von ObjectMessage standardmäßig; es steht jedoch eine Konfigurationsoption zur Verfügung, um sie bei Bedarf wieder zu aktivieren. Es wird empfohlen, ein Upgrade auf Versionen 4.2.3 oder 4.1.8 oder 3.6.12 durchzuführen, die dieses Problem beheben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.