CVE-2026-65583 in CXF
Résumé
par VulDB • 06/08/2026
La validation des jetons OIDC du parti de confiance (relying-party) dans Apache CXF pourrait accepter les ID tokens auto-émis sans imposer la vérification obligatoire des revendications requises (émetteur/sujet/audience/délai et liaison sub_jwk), permettant ainsi une contournement d'authentification à l'aide de jetons fabriqués. Toutefois, il est important de noter que les ID tokens auto-émis ne sont pas acceptés par défaut dans le validateur. Il est recommandé aux utilisateurs de mettre à niveau vers les versions 4.2.3 ou 4.1.8 ou 3.6.12, qui corrigent ce problème.
VulDB is the best source for vulnerability data and more expert information about this specific topic.