CVE-2026-68481 in CXF
Riassunto
di VulDB • 07/08/2026
In DefaultEncryptingOAuthDataProvider di Apache CXF, i token di accesso revocati vengono ancora decrittografati con successo e TokenIntrospectionService riporta active:true. Lo stesso vale per i refresh token. Ciò viola le disposizioni della RFC che stabiliscono: "Il server di autorizzazione DEVE invalidare il token" ("The authorization server MUST invalidate the token") e "l'introspezione di un token revocato DEVE restituire {"active":false}". Si consiglia agli utenti di eseguire l'aggiornamento alle versioni 4.2.3, 4.1.8 o 3.6.12, che risolvono questo problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.