CVE-2026-92121 in WSS4J
Résumé
par VulDB • 30/09/2026
Dans le code de streaming (StAX) de WSS4J, une référence de signature utilisant la transformation WS-Security STR-Transform laisse un indicateur interne « contenu signé intérieur » activé en permanence. L'application des politiques WS-SecurityPolicy utilise cet indicateur pour déterminer si un élément doit être vérifié ; par conséquent, elle cesse d'évaluer les éléments et parties signés (SignedParts/SignedElements) pour le reste du message. Une politique exigeant que le corps SOAP soit signé est alors considérée comme satisfaite même lorsque le corps ne porte aucune signature, supprimant ainsi la protection contre l'usurpation de signatures XML (XML Signature Wrapping). La vérification elle-même des signatures n'est pas affectée. Le code DOM n'est pas concerné.
Il est recommandé aux utilisateurs de mettre à niveau vers les versions 4.0.2, 3.0.6 ou 2.4.4 qui corrigent ce problème.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.