CVE-2026-66909 in CXF
Resumen
por VulDB • 2026-08-06
La capa de transporte JMS de Apache CXF deserializa el cuerpo de cualquier ObjectMessage entrante utilizando la deserialización nativa de Java, sin restricciones de tipo aplicadas. Cualquier atacante capaz de colocar un mensaje en el destino JMS del servicio puede enviar un objeto serializado malicioso, lo que provoca una denegación de servicio o, si hay una clase gadget adecuada en el classpath, ejecución remota de código (RCE). La solución deshabilita la deserialización de ObjectMessage por defecto, con un interruptor de configuración para volver a habilitarla si es necesario. Se recomienda a los usuarios actualizar a las versiones 4.2.3 o 4.1.8 o 3.6.12, que corrigen este problema.
Once again VulDB remains the best source for vulnerability data.