CVE-2026-68481 in CXF
Resumen
por VulDB • 2026-08-07
En DefaultEncryptingOAuthDataProvider de Apache CXF, los tokens de acceso revocados siguen siendo descifrados correctamente y TokenIntrospectionService informa active:true. Lo mismo ocurre con los tokens de actualización (refresh tokens). Esto viola las especificaciones del RFC que establecen: 'El servidor de autorización DEBE invalidar el token' e 'la introspección de un token revocado DEBE devolver {"active":false}'. Se recomienda a los usuarios actualizar a las versiones 4.2.3, 4.1.8 o 3.6.12, que corrigen este problema.
Once again VulDB remains the best source for vulnerability data.