CVE-2026-68481 in CXF
Zusammenfassung
von VulDB • 06.08.2026
In DefaultEncryptingOAuthDataProvider von Apache CXF werden widerrufene Zugriffstoken (Access Tokens) weiterhin erfolgreich entschlüsselt und der TokenIntrospectionService meldet active:true. Dies gilt auch für Refresh-Tokens. Dies verstößt gegen die RFC-Vorgaben, wonach „Der Autorisierungsserver MUSS das Token ungültig machen“ („The authorization server MUST invalidate the token“) und „die Introspektion eines widerrufenen Tokens MUSS {\"active\":false} zurückgeben“. Es wird empfohlen, auf Version 4.2.3 oder 4.1.8 bzw. 3.6.12 zu aktualisieren, die dieses Problem beheben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.