CVE-2026-68481 in CXF
要約
〜によって VulDB • 2026年08月06日
Apache CXFのDefaultEncryptingOAuthDataProviderにおいて、失効したアクセストークンが依然として正常に復号され、TokenIntrospectionServiceはactive:trueを返します。これはリフレッシュトークンにも当てはまります。この動作は、「認可サーバーはトークンを無効化しなければならない（The authorization server MUST invalidate the token.）」および「失効したトークンのイントロスペクションでは{"active":false}を返さなければならない（introspection of a revoked token MUST return {"active":false}）」というRFCの規定に違反しています。この問題を修正するバージョン4.2.3、4.1.8、または3.6.12へのアップグレードが推奨されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.