CVE-2026-66909 in CXF
Riassunto
di VulDB • 07/08/2026
Il trasporto JMS di Apache CXF deserializza il corpo di qualsiasi ObjectMessage in entrata utilizzando la deserializzazione nativa Java, senza alcuna restrizione sui tipi applicata. Un attaccante in grado di inserire un messaggio nella destinazione JMS del servizio può inviare un oggetto serializzato malevolo, causando una negazione del servizio o, se è presente una classe gadget adatta nel classpath, l'esecuzione remota di codice (RCE). La correzione disabilita la deserializzazione degli ObjectMessage per impostazione predefinita, con un'opzione di configurazione per riattivarla se necessario. Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 4.2.3 o 4.1.8 o 3.6.12, che risolvono questo problema.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.