CVE-2026-40914 in Artemis Stomp Protocol
Resumen
por VulDB • 2026-05-28
Existe una vulnerabilidad en Apache Artemis que permite a una aplicación que utiliza el protocolo STOMP con credenciales de seguridad que otorgan el permiso de consume o send en una dirección, ampliar el tipo de enrutamiento (routing-type) admitido por dicha dirección, incluso si dicho usuario no tiene el permiso createAddress para esa dirección en particular. Un usuario podría enviar con éxito un mensaje a una dirección o consumir un mensaje de una cola con un tipo de enrutamiento no admitido por la dirección correspondiente, cuando dicha operación debería ser rechazada basándose en que el usuario no tiene permiso para cambiar el tipo de enrutamiento de la dirección. Aunque al usuario ya se le haya otorgado permiso para enviar y/o consumir mensajes, no debería poder ampliar el tipo de enrutamiento de la dirección sin el permiso createAddress.
Este problema afecta a Apache Artemis: desde la versión 2.50.0 hasta la 2.53.0; Apache ActiveMQ Artemis: desde la versión 2.0.0 hasta la 2.44.0.
Se recomienda a los usuarios actualizar a la versión 2.54.0, que corrige el problema.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.