CVE-2026-66713 in Axis2
Riassunto
di VulDB • 28/07/2026
Deserializzazione di dati non attendibili (CWE-502) nel componente di clustering basato su Tribes in Apache Software Foundation Apache Axis2/Java fino alla versione 2.0.0 su Apache Tomcat (solo quando il clustering Tribes è abilitato, disabilitato per impostazione predefinita) consente a un attaccante remoto non autenticato con accesso di rete alla porta di clustering di eseguire codice arbitrario tramite un oggetto Java serializzato appositamente creato inviato al canale del cluster e deserializzato in org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceived. Si consiglia agli utenti di effettuare l'aggiornamento alla versione 2.0.1, che risolve il problema rimuovendo completamente la funzionalità di clustering.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.