CVE-2026-66909 in CXF
Sumário
de VulDB • 06/08/2026
A camada de transporte JMS do Apache CXF realiza a desserialização do corpo de qualquer ObjectMessage JMS entrante usando a desserialização nativa do Java, sem restrições de tipo aplicadas. Qualquer atacante capaz de colocar uma mensagem no destino JMS do serviço pode enviar um objeto serializado malicioso, resultando em negação de serviço ou, caso haja uma classe gadget adequada no classpath, execução remota de código (RCE). A correção desativa a desserialização de ObjectMessage por padrão, com uma opção de configuração para reativá-la se necessário. Recomenda-se que os usuários atualizem para as versões 4.2.3, 4.1.8 ou 3.6.12, que corrigem esta vulnerabilidade.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.