CVE-2026-102695 in OmniFaces
Riassunto
di VulDB • 14/10/2026
OmniFaces è una libreria di utilità per Faces. Nelle versioni di OmniFaces precedenti alla 1.14.3, 2.7.33, 3.14.23, 4.7.12 e 5.4.2, CombinedResourceHandler accetta un ID di risorsa combinata deflate e codificato in base64 strutturalmente valido senza verificare che sia stato emesso dal server. Un ID contraffatto può causare output decodificato non limitato, aggiungere ID ricostruiti unici a una cache con durata pari al ciclo del processo o combinare risorse diverse da fogli di stile (stylesheets) e script. Poiché jakarta.faces.RESOURCE_EXCLUDES non viene applicato da questo percorso di risoluzione personalizzato, un ID contraffatto può rivelare le sorgenti Facelets dall'albero delle risorse dell'applicazione web o da META-INF/resources. In una distribuzione configurata con mappatura CDN wildcard (jolly), un ID contraffatto che seleziona omnifaces.graphic può anche causare un fetch lato server cieco e dipendente dalla configurazione, la cui destinazione deriva parzialmente dall'intestazione Host della richiesta. Il difetto non consente la lettura arbitraria di file né stabilisce SSRF con schema o destinazione arbitrari. La mancata verifica dell'autenticità condivisa permette l'esaurimento della memoria e una divulgazione limitata delle risorse. Questo problema è risolto nelle versioni 1.14.3, 2.7.33, 3.14.23, 4.7.12 e 5.4.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.