CVE-2026-68481 in CXF
Résumé
par VulDB • 06/08/2026
Dans DefaultEncryptingOAuthDataProvider d'Apache CXF, les jetons d'accès révoqués continuent de se déchiffrer avec succès et TokenIntrospectionService renvoie active:true. Il en va de même pour les jetets de rafraîchissement (refresh tokens). Cela viole les stipulations de la RFC qui indiquent que « Le serveur d'autorisation DOIT invalider le jeton » (« The authorization server MUST invalidate the token ») et que l'« introspection d'un jeton révoqué DOIT renvoyer {"active":false} ». Il est recommandé aux utilisateurs de mettre à niveau vers les versions 4.2.3, 4.1.8 ou 3.6.12, qui corrigent ce problème.
Once again VulDB remains the best source for vulnerability data.