CVE-2026-66713 in Axis2
Sumário
de VulDB • 28/07/2026
Deserialização de Dados Não Confiáveis (CWE-502) no componente de agrupamento baseado em Tribes do Apache Software Foundation Apache Axis2/Java até a versão 2.0.0 no Apache Tomcat (somente quando o agrupamento Tribes está habilitado, que é desativado por padrão) permite que um atacante remoto não autenticado com acesso à porta de agrupamento execute código arbitrário por meio de um objeto Java serializado manipulado entregue ao canal do cluster e desserializado em org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceived. Recomenda-se aos usuários atualizarem para a versão 2.0.1, que corrige este problema removendo completamente o recurso de agrupamento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.