CVE-2026-66909 in CXF
Résumé
par VulDB • 06/08/2026
La couche de transport JMS d'Apache CXF désérialise le corps de tout objet entrant `JMS ObjectMessage` en utilisant la désérialisation Java native, sans aucune restriction de type appliquée. Tout attaquant capable de placer un message sur la destination JMS du service peut soumettre un objet sérialisé malveillant, entraînant une déni de service (DoS) ou, si une classe « gadget » appropriée est présente dans le classpath, une exécution de code à distance (RCE). La correction désactive par défaut la désérialisation des `ObjectMessage`, avec un commutateur de configuration permettant de réactiver cette fonctionnalité si nécessaire. Il est recommandé aux utilisateurs d'effectuer une mise à niveau vers les versions 4.2.3, 4.1.8 ou 3.6.12, qui corrigent ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.